4.ring0-遍历IAT（特例NTOS）

最新推荐文章于 2023-05-02 16:27:33 发布

原创最新推荐文章于 2023-05-02 16:27:33 发布 · 1.7k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#file #command #list #user #2010

安全 (ring0) 专栏收录该内容

6 篇文章

订阅专栏

本文详细解析了NTOS中通过IMAGE_DIRECTORY_ENTRY_IAT获取IAT的方法，以及提供了一段用于遍历IAT的代码实现。特别强调了INIT方式加载后，IMPORT对应的区域被释放的问题，并通过Windbg进行直观验证。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

原NTOS的IAT只能通过IMAGE_DIRECTORY_ENTRY_IAT（12）来获得，因为NTOS加载完后，INIT方式加载，所以IMAGE_DIRECTORY_ENTRY_IMPORT对应的区域被释放了！
坑爹啊，
可以用windbg很直观的看到：
X86：

x64:

其他的IAT遍历代码如下：

NTSTATUS EnumIATTable(ULONG_PTR pBase)
{
	PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)pBase;
	PIMAGE_NT_HEADERS pNt = NULL;
	PIMAGE_IMPORT_DESCRIPTOR pImport = NULL;
	PIMAGE_THUNK_DATA pThunk = NULL;
 
	if (NULL == pDos
		|| IMAGE_DOS_SIGNATURE != pDos->e_magic)
	{
		return STATUS_INVALID_IMAGE_FORMAT;
	}
 
	pNt = (PIMAGE_NT_HEADERS)((PUCHAR)pBase+pDos->e_lfanew);
	if (IMAGE_NT_SIGNATURE != pNt->Signature)
	{
		return STATUS_INVALID_IMAGE_FORMAT;
	}
 
	pImport = (PIMAGE_IMPORT_DESCRIPTOR)((PUCHAR)pBase+pNt->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);
 
	// 枚举打印
	while (NULL !=pImport
		&& MmIsAddressValid(pImport)
		&&pImport->Name != 0)
	{
		pThunk = (PIMAGE_THUNK_DATA)((PUCHAR)pBase+pImport->FirstThunk);
		while (NULL != pThunk
			&& MmIsAddressValid(pThunk)
			&& pThunk->u1.Function != 0)
		{
			KdPrint(("[EnumIATTable]-Import Module:%s-function:%p\r\n", (PUCHAR)pBase+pImport->Name, pThunk->u1.Function));
			pThunk++;
		}
 
		pImport++;
	}
 
	return STATUS_SUCCESS;
}