64位PE文件导入表的修改

最新推荐文章于 2024-11-04 17:47:11 发布

原创

最新推荐文章于 2024-11-04 17:47:11 发布 · 3.6k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#image #struct #function #import #google #byte

本文介绍了64位PE文件导入表的结构，特别关注了与32位PE的区别，主要在于_IMAGE_THUNK_DATA64结构中使用了ULONGLONG。在编写64位PE时，由于误将结构体成员当作DWORD处理，导致了问题的发生，通过调整为正确的数据类型可以解决此类问题。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

和32位PE文件没什么大的区别，只要注意一个结构：

#include "pshpack8.h" // Use align 8 for the 64-bit IAT.

typedef struct _IMAGE_THUNK_DATA64 {
union {
ULONGLONG ForwarderString; // PBYTE
ULONGLONG Function; // PDWORD
ULONGLONG Ordinal;
ULONGLONG AddressOfData; // PIMAGE_IMPORT_BY_NAME
} u1;
} IMAGE_THUNK_DATA64;
typedef IMAGE_THUNK_DATA64 * PIMAGE_THUNK_DATA64;

#include "poppack.h" // Back to 4 byte packing

typedef struct _IMAGE_THUNK_DATA32 {
union {
DWORD ForwarderString; &