64位PE文件导入表的修改

最新推荐文章于 2024-11-04 17:47:11 发布
最新推荐文章于 2024-11-04 17:47:11 发布
阅读量3.6k 收藏 3
点赞数
CC 4.0 BY-SA版权
分类专栏： 测试点滴 文章标签： image struct function import google byte
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/ava669/article/details/7058104
本文介绍了64位PE文件导入表的结构，特别关注了与32位PE的区别，主要在于_IMAGE_THUNK_DATA64结构中使用了ULONGLONG。在编写64位PE时，由于误将结构体成员当作DWORD处理，导致了问题的发生，通过调整为正确的数据类型可以解决此类问题。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

和32位PE文件没什么大的区别， 只要注意一个结构：

#include "pshpack8.h"                       // Use align 8 for the 64-bit IAT.


typedef struct _IMAGE_THUNK_DATA64 {
    union {
        ULONGLONG ForwarderString;  // PBYTE 
        ULONGLONG Function;         // PDWORD
        ULONGLONG Ordinal;
        ULONGLONG AddressOfData;    // PIMAGE_IMPORT_BY_NAME
    } u1;
} IMAGE_THUNK_DATA64;
typedef IMAGE_THUNK_DATA64 * PIMAGE_THUNK_DATA64;


#include "poppack.h"                        // Back to 4 byte packing


typedef struct _IMAGE_THUNK_DATA32 {
    union {
        DWORD ForwarderString;     &

最低0.47元/天 解锁文章

200万优质内容无限畅学
静态修改PE输入表
哒君的博客
07-21 867
通常情况下，程序加载DLL的时机主要有以下三个： 在进程创建阶段加载输入表中的DLL，即俗称的静态输入 通过调用`LoadLibrary (Ex) 主动加载，称为动态加载 由于系统机制的要求，必须加载系统预设的一些基础服务模块 此文仅记录修改静态输入表注入 找到输入表 https://blog.youkuaiyun.com/billvsme/article/details/39735823 输入表结构...
pe结构分析之手工修复导入表
ChuMeng1999的博客
10-25 1616
目录预备知识实验目的实验环境实验步骤一实验步骤二实验步骤三 预备知识 本实验要求实验者具备如下的相关知识。 1.加密外壳中，破坏原程序的输入表是很关键的一步。在脱壳中，需要脱壳者对于pe格式中的输入表概念非常清楚。常见输入表的结构是为了表示从系统或外界调用DLL中的某些函数设计的。使用这些函数会涉及到函数名，函数所在的地址，这些分别用INT，IAT来表示。 INT：全称import name table输入名称表。简单来说，INT表存放了若干指针，通过这些指针，你可以找到所调用的函数的名字。 IAT：全称i
修改PE文件引入表实现加载DLL
威化饼的一隅
04-08 3614
文章目录内容简介DLL结构DLL的编译链接（VS命令行中）DLL的加载使用的DLL源代码PE文件关键结构MZ头NT映像头可选头部引入表IDT、INT、IAT关系代码实现思路关键数据结构节表IDT项验证结果 内容简介 编写Func.dll，并编写一个EXE程序，该程序能够加载Func.dll，并调用Func.dll中的导出函数，在加载Func.dll的时候，会弹出计算器calc.exe。 使用PE...
注入技术--修改pe文件导入表进行注入
weixin_30849403的博客
03-13 513
1.修改导入表,即添加一个新的导入表描述符及其iat,int. 这样系统加载该pe文件时将自动加载添加的dll,从而实现dll注入 2.思路: 可以手工修改,但是复杂程度一点也不比写代码低,而且低效. 通过代码实现可以一劳永逸. 新增一个节来存储新的导入表. 其实也可以在原来的pe文件找空隙插入进去,但是又很难实现通用,因为不同的pe文件空隙位置大小不同.容易出错 新增的导入表描述符通过序...
pe-inject 修改程序导入表
04-02
编辑修改程序导入表，增加自定义DLL PE-inject is a special library which allows developers to place their own code into Windows executable files (EXE, DLL, OCX and others). PE-inject was designed to be as simple as possible, to make modification of executables (so called PE-files) as easy as writing a "Hello world!" program. The knowledge of Assembler and Windows PE-EXE file format, which was essential before PE-inject came, is no longer required. To inject your code into foreign executables you only need to make a DLL file with functions you want to inject into PE file, call PE-inject function to place the DLL into the executable and the file is injected. From now on, everytime you run the executable, the injected code will be run first and after it finishes, the old application code will start. PE-inject doesn't need to write any data to harddrive, like some other solutions do. Therefore it can be also used for applications which require highest security, like PE-protection engines. From EXE password protectors, through PE compressors to PE anti-cracking protectors, everything is easy to implement. PE-inject has a really well designed interface, which allows you to use it for almost any purpose related with injection of code into PE-files. Even a virus-like code is possible!
修改PE导入表注入DLL——实例图文教程——让你看的明明白白
最新发布
2403_87755661的博客
11-04 1487
其实通过修改PE导入表注入DLL的教程很多，本文也只是其中的沧海一粟而已，但既然写出来，自我感觉应该还是有一点自我的东西的，至少自认为做到了思路清晰，每步都有据可依，让看客应该能做到“看的明明白白”！本贴以《英雄无敌》1游戏程序为例子，向其添加一个DLL，调用其中的导出函数可以在施展回城术魔法时，让玩家可以选择到达具体的城堡。本文的最后效果与下文是一样的，只是处理手法不同而已！[原创]修改PE入口点方式注入自己编写的DLL——《英雄无敌》1代小回城术修改成大回城术。
PE（64位）文件之导入表
玄道的网安博客
01-06 1832
导入表是PE文件中一个重要的表项，负责声明从其他的库中调入函数。一般代表着这个PE文件使用了哪些其他库的函数。 首先我们先了解下几个名词： PE文件：PE结构的文件，一般为可执行程序，.exe、.dll、.sys、.vxd、.ocx、.com等。 VA(Virtual Address)： 虚拟地址，代表着PE文件映射进内存之后的地址。 RVA(Reverse Virtual Address)：相对虚拟地址，对于PE文件映射进内存之后相对基地址偏移。 FOA(File Offset Addres..
修复PE 文件导入表
09-02
"PEConsole"可能是一个包含示例代码的VS2003工程，提供了修复PE文件导入表的功能。通过查看和学习这个工程，我们可以更深入地理解导入表的结构以及如何进行修复操作。在实际应用中，这样的工具对于调试、逆向工程、...
改写PE文件导入表加载DLL
03-18
需要注意的是，直接修改PE文件的导入表是一项精细的工作，需要对PE文件结构有深入的理解，否则可能导致文件损坏或无法运行。此外，这种方法也可能违反法律，因此在实际操作时应确保遵循合法和道德的准则。
易语言文件PE修改器
07-22
易语言文件PE修改器源码,文件PE修改器,加入信息,nop,加入信息_弹窗,push,jmp_eax,call_eax,mov_eax_,jmp,push_eax,call_ebx,mov_ebx_,pop_eax,pop_ebx,cmp_eax_,je,子程序_字节集到整数,ExportsDLLFunction,LOWORD,...
PE文件修改器(EXE文件查看工具)v2.2单文件绿色版(x86/x64)
12-08
PE文件修改器(EXE文件查看工具)v2.2单文件绿色版 ============================================================ 发布时文件名： 　　PEshell-x86-v2.2[crc-F342E220].exe 　　PEshell-x64-v2.2[crc-A9F3EAEA].exe 软件介绍： 　　PE文件修改器(EXE文件查看工具) 　　WINXP，WIN7x86,WIN7x64系统下测试稳定，部分受保护文件修改失败。（仅用于学习交流） 　　此小工具，可修改EXE文件图标，导出EXE文件图标，EXE文件注入进程，EXE文件注入DLL，合并EXE文件。 注： 　　用于打造个性化EXE文件，但仅适用于修改普通32/64位可执行EXE文件。 　　绿色版无毒请放心使用！ 　　这类软件杀软误报纯属正常！ ============================================================
DLL注入修改输入表模块.rar
04-04
DLL注入修改输入表模块.rar
2.9 PE结构：重建导入表结构
热门推荐
优快云
09-08 1万+
脱壳修复是指在进行加壳保护后的二进制程序脱壳操作后，由于加壳操作的不同，有些程序的导入表可能会受到影响，导致脱壳后程序无法正常运行。因此，需要进行修复操作，将脱壳前的导入表覆盖到脱壳后的程序中，以使程序恢复正常运行。一般情况下，导入表被分为IAT（Import Address Table，导入地址表）和INT（Import Name Table，导入名称表）两个部分，其中IAT存储着导入函数的地址，而INT存储着导入函数的名称。在脱壳修复中，一般是通过将脱壳前和脱壳后的输入表进行对比，找出IAT和INT表中
Windows Ring3层注入——修改PE输入表（导入表）注入（一）
qq_38493448的博客
01-16 1477
Windows Ring3层注入——修改PE输入表（导入表）注入（一）PE文件简单介绍PE文件相关名词解释PE文件磁盘与内存映像结构图输入表介绍输入表结构输入表注入原理PE输入表注入的两种方法静态修改PE文件法：进程创建期修改PE输入表法：输入表注入核心代码示例 PE文件简单介绍 PE（Portable Execute）文件是Windows下可执行文件的总称，常见的有DLL，EXE，OCX，SY...
逆向工程之作业：手工修改PE文件
weixin_47356546的博客
12-09 1266
文字描述思路，关键步骤截图，形成打印版文档，提交。 1.对齐粒度 将helloworld.EXE的文件对齐和内存对齐粒度设置为相同，都为1000H，查看节表，得到以下效果。 步骤： Peditor打开helloworld.exe文件 打开节表， 右键点击一个节，选择编辑节，修改原始大小和原始偏移 点击应用更改。 例：选择.text节 修改了以后保存，文件就不能运行了，因为文件实际的内容大小对应不上。 打开Winhex，在几个部分进行填充，使文件实际大小和PEditor内容对应 （1）. text部分由
【滴水三期】32/64位——PE文件节表打印与解析
sunqingyu888的博客
08-03 618
【滴水三期】32/64位——PE文件节表打印与解析
修改PE直接加载DLL
weixin_30439131的博客
05-14 189
流程：修改可选头里的IMPORT表，添加DLL名及起码一个DLL的导出函数名 要点：RAW【文件偏移地址】=RVA【内存偏移地址】-VirtualAdress【内存中的节区起始位置】+PointerToRawData【文件中的节区起始位置】 相关结构 typedefstruct_IMAGE_IMPORT_DESCRIPTOR{ //简称IID，20个字节 unio...
【PE】PE文件结构学习
dr0op's blog
03-31 1608
【PE】PE文件结构学习PE文件内存对齐文件对齐PE结构分析DOS头结构PE头文件区块表输入表输出表：基址重定位表： PE文件 内存对齐 PE文件包括： DLL，EXE，OCX，SYS等。 Windows加载器遍历PE文件并将其复制到内存镜像。PE文件结构在磁盘中和内存中基本是一样的，但又不是完全复制，对齐方式有所不同。 如图：在Windows系统中，一个节在内存中对齐单位是一个页的大小。 对于32位操作系统来说，这个值是4KB(1000H) 对于64位系统来说，这个值是8KB(2000H) 文件
PE结构-2
Starr
07-05 623
PE结构-2 文章目录PE结构-25. 导入表查找导入函数地址查找INT查找IATdump6. 导出表从序号查找函数入口地址从函数名称查找入口地址7. 基址重定位8.资源_IMAGE_RESOURCE_DIRECTORY_IMAGE_RESOURCE_DIRECTORY_ENTRYDUMMYUNIONNAMEDUMMYUNIONNAME2 5. 导入表 _IMAGE_IMPORT_DESCRIPT...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值