PE文件绑定导入表

最新推荐文章于 2025-04-14 18:18:10 发布
原创 最新推荐文章于 2025-04-14 18:18:10 发布 · 350 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

BOUNDIMPORTTABLE是PE文件中用于加速DLL加载的一项技术，但不是必需项。在修改PE文件添加新的DLL导入时，需要检查并可能更新或删除绑定导入表，否则可能导致运行时错误。使用工具如PEview和Winhex可以查看相关位置。

BOUND IMPORT TABLE 绑定导入表是一种提高DLL加载速度的技术.
对于PE文件而言是可选项, 不是必须. 当修改PE文件时, 如果添加导入的DLL文件, 需要注意有没有绑定导入表, 如果有需要删除或修改绑定导入表, 否则会运行时出错.

PEview查看绑定导入表
在这里插入图片描述
Winhex查看相应位置
在这里插入图片描述

PE文件：绑定导入表
weixin_43742894的博客
04-01 511
绑定导入表是为了加快程序的加载程序，因为正常PE加载的时候，要去检查导入表并将相关的DLL映射到进程空间地址，并将导入表的FirstThunk指向的数组填入函数的真实地址，这一步需要花费很多时间，绑定导入表就是为了解决此环节的问题，**绑定导入表中保存了导入函数的真实地址，PE加载的时候系统会检测是否有绑定导入表，就会直接将函数地址写入FirstThunk。**
解析绑定导入表
hambaga的博客
05-22 937
一、绑定导入表的作用 有些windows程序，如notepad，为了提高加载速度，会直接把DLL中的函数地址写入到IAT表，省去了加载时的计算。但是这样会有两个问题，第一，当DLL没有占住ImageBase时，IAT中的地址就是错的；第二，当链接的DLL被修改了，那IAT里写的地址也是错的。遇到这两种情形之一，加载时就必须修复IAT了。 对于第二种情形，DLL是否被修改，是根据比较DLL的时间戳和绑定导入表中的记录的DLL时间戳来判断的，如果不一致，说明DLL被修改了。 加载程序时，操作系统根据导入表中的时
滴水三期：day40.1-绑定导入表
Edimade的博客
04-19 639
一、引入绑定导入表 > 二、绑定导入表（1.定位 > 2.绑定导入表结构 > 3.作用）> 三、作业（1.打印绑定导入表）
13.PE文件之绑定导入表(IMAGE_BOUND_IMPORT_DESCRIPTOR)
kernelhack
10-30 4324
绑定导入数据的存在主要是为了优化导入信息,提高PE的加载效率. 当PE文件被加载到内存时,加载器会先检查导入表,然后把需要加载的DLL载入到地址空间中. 加载器还有一项比较重要的工作是根据导入信息的描述使用动态链接库里输入函数的实际地址去替换IAT表的内容,这个步骤会花去一部分时间.但是如果知道函数实际的地址,就可以直接把数组中的元素替换为地址,这能节省相当多的时间.这种方法就称为绑定(Binding). 绑定导入表定位以及解析(手动FileBuffer) 测试文件Win7 x86下note..
PE知识复习之PE的绑定导入表
weixin_30352645的博客
10-05 227
　　　　　　　　　　　　　　　　　　　　PE知识复习之PE的绑定导入表 一丶简介 　　根据前几讲,我们已经熟悉了导入表结构.但是如果大家尝试过打印导入表的结构. INT IAT的时候. 会出现问题. PE在加载前 INT IAT表都指向一个名称表. 这样说是没错的. 但是如果你打印过导入表.会发现一个问题. 有的EXE程序.在打印IAT表的时候.发现里面是地址. 原因: 　　我们的PE程...
PE结构之导入表
weixin_43751677的博客
10-11 691
如果某个导入表的时间戳==-1 ,请查看。
PE文件解析-加载配置表、绑定导入表、导入地址表与延迟导入表
zhyulo的博客
01-06 1857
一、加载配置表 1.位置与简介     载入配置表早期是用于描述当PE文件头或PE可选头无法描述或者因为太大而无法描述的各种功能。     后来以XP及以后的系统主要是为了存储SEH句柄，称为安全结构化异常处理程序列表，如果SEH异常处理没有经过注册，在载入配置表中没有句柄，这个异常处理就不会被执行。     据微软官方说明，这个载入配置表的作用是为了防止“x86异常处理程序劫持”的漏洞。因为...
修复PE 文件导入表
09-02
它包含了代码、数据、资源等信息，而导入表则是PE文件的重要组成部分，用于指示程序在运行时如何调用其他动态链接库（DLL）中的函数。 导入表记录了程序所需的外部函数和它们所在的库。每个函数都有一个导入地址表...
PE结构之绑定导入表
weixin_43751677的博客
10-12 345
IAT 中的 IMAGE_THUNK_DATA 结构将被导入函数的实际地址覆盖。加载绑定的可执行文件时，Windows 加载程序可以绕过查找每个导入的 API 并将其写入 IAT 的步骤。IAT 表中的数据,在文件中可能已经不和INT表一样了,已经保存了需要导入的函数的VA(内存地址或者说绝对地址). 如果IMAGE_IMPORT_DESCRIPTOR结构(导入表的结构)中的。TimeDateStamp==0 ,表示 没有绑定 ,如果为-1,说明已经绑定,这时 IAT表的数据已经是导入函数的VA了。
PE结构（四） 绑定导入表
weixin_37673331的博客
02-29 684
1.关于绑定导入 一般情况下，在程序加载前IAT表和INT表中的内容相同，都是程序引用的dll中的函数的函数名或序号； 加载完成后IAT表中将替换为函数的真正地址； 但在加载前IAT表中直接写绝对地址是可以实现的； 加载前在IAT表中保存绝对地址的优点：启动程序快； 在启动程序时需要：申请4gb内存空间、贴exe、贴dll、将IAT表修复为地址等等； 如果直接用绝对地址，则省去了修复IAT表的操作...
PE文件格式学习（十四）：绑定导入表
11-08 258
1.介绍 绑定导入表的作用是加快程序的启动速度，一个PE程序在启动时会去加载导入表中的dll文件，并将导入表的FirstThunk指向的数组填入函数的真实地址，这需要耗去时间，绑定导入表中保存了导入函数的真实地址，所以当PE在启动时系统检测到有绑定导入表，就会直接将地址填入FirstThunk里，这样就省去了寻找真实地址的时间。 但是绑定导入表的生效，有两个前提条件： 程序初始化时，导...
PE文件（十五）绑定导入表
最新发布
2301_78838647的博客
04-14 971
我们在分析Windows自带的一些程序时，常常发现有的程序，如notepad，他的IAT表在文件加载内存前已经完成绑定，存储了函数的地址。这样做可以使得程序是无需修改IAT表而直接启动，这时程序启动速度变快。但这种方式只适用于dll按照预先设定ImageBase装载而不重分配的情况当dll没有按照预先设定的ImageBase进行装载，IAT表在文件加载内存前进行绑定就会出现问题了。
绑定导入表
若面朝大海边竹妮春暖花开的博客
05-15 315
我们之前分析过导入表，在PE文件加载前IAT表和INT表相同，只有文件加载后才能根据INT表通过序号或名称使用GetProcessAddress函数获得函数地址贴到IAT表中 我们观察记事本程序，记事本程序在PE文件加载前就把函数地址贴到IAT表中了。这种情况叫做绑定导入表 这样做的好处是程序运行快，坏处是万一dll没有占住要使用的ImageBase，会出现错误，还有万一dll被修改了，值会发生改变 如果导入表中的时间戳为0代表dll的所有函数地址还没有绑定，当时间戳为-1时，意味着函数地址已经被绑定 那么
PE文件学习笔记（五）：导入表、IAT、绑定导入表解析
热门推荐
Apollon_krj的博客
08-19 1万+
1、导入表（Import Descriptor）结构解析：导入表是记录PE文件中用到的动态连接库的集合，一个dll库在导入表中占用一个元素信息的位置，这个元素描述了该导入dll的具体信息。如dll的最新修改时间、dll中函数的名字/序号、dll加载后的函数地址等。而一个元素即一个结构体，一个导入表即该结构体的数组，其结构体如下所示：typedef struct _IMAGE_IMPORT_DESCR
关于绑定导入表
abns44296的博客
03-24 869
0x01 绑定导入表概念 绑定导入表(The Bound Import Directory)。它包含了可以让加载器判断绑定的地址是否合法的信息。描述它的数据结构是IMAGE_BOUND_IMPORT_DESCRIPTOR，目录表就是这种结构的数组，每一项都对应一个被绑定过的DLL。 每当PE装载器装入PE文件时，检查导入表并将相关DLL映射到进程空间地址。然后通过遍历IA...
PE结构&绑定导入实现
寻梦&之璐
02-04 7937
简介 作用 绑定导入是一种提高PE加载速度的技术。它只能起辅助性作用，它的存在与否只影响加载过程，并不影响PE的最终加载结果和运行结果。 为什么说是辅助性呢？ 因为不同的操作系统中，动态链接库的基地址是不一样的。举个例子，kernel32.dll，在Windows 2000中其加载到进程空间的基地址为0x77e60000，而在Windows XP SP3中其加载地址则是0x7c800000。同一动态链接库加载后处于不同的基地址，直接导致了同一个导入函数在不同操作系统中其导入地址VA是不一样的。 因此经过绑定
PE文件绑定，或者说多个exe文件的合并
dasgk的专栏
12-16 1965
思路：     是我自己想的，也许不会，也许别人已经做过了，但是不是重点，哈，我现在想将两个exe文件合并成为一个exe文件，那么就需要四个exe，现在说下这四个exe文件的作用 分别是A.exe   D.exe  tmpA.exe  tmpB.exe A.exe的作用是将tmpA.exe和tmpB.exe文件写入到D.exe当中去，这里tmpA.exe和tmpB.exe我们是不知道源码的，
导入表和绑定导入
weixin_43990313的博客
07-29 457
导入表 概述 导入表是用来存储应用程序需要的利用的模块以及模块内的函数的结构。记录了模块的信息和函数的信息。 结构 typedef struct _IMAGE_IMPORT_DESCRIPTOR { union { DWORD Characteristics; DWORD OriginalFirstThunk; //指向IMAGE_THUNK_DATA结构 }; DWOR
PE文件导入表信息解读与分析
当编译这段代码时，编译器会生成导入表信息，链接器会处理PE文件的导入表部分，最终生成包含导入表的可执行文件。当这个PE文件运行时，操作系统会解析MessageBoxW函数的实际内存地址，并将这个地址填充到导入地址表...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值