DLL注入_修改导入表(2)

「已注销」

于 2019-11-11 21:20:15 发布

阅读量373

点赞数

CC 4.0 BY-SA版权

分类专栏： Binary 文章标签：逆向 DLL注入

本文链接：https://blog.youkuaiyun.com/qq_38232378/article/details/103018284

本文探讨了如何在内存中查看DLL函数，详细分析了PE内存镜像，包括程序的首选虚拟地址（ImageBase）、内存中的SectionAlignment以及节表的位置。此外，还介绍了DLL如何在运行时由PE装载器加载并映射到内存，特别是针对sum.dll的导入表进行了解读。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在内存中查看dll函数

(一) PE内存镜像分析

dll_main.exe NT_HEADERS = E8H
IMAGE_BASE(memory) = NT_HEADERS -> IMAGE_OPTIONAL_HEADER32-> ImageBase (NT+34H)

E8H + +34H = 11CH   ,查看11CH的内容
 Offset    0  1  2  3  4  5  6  7  8  9  A  B  C  D  E  F   Ascii

00000110  CE 6A 00 00 00 10 00 00 00 30 01 00 00 00 40 00  蝚......0...@.

IMAGE_BASE(mem) = 0x0040 0000H ,程序装入的首选VA地址

SectionAlignment(mem) = NT_HEADERS -> IMAGE_OPTIONAL_HEADER32 -> SectionAlignment (NT+38H)

E8H + +38H = 120H   ,查看120H的内容
 Offset    0  1  2  3  4  5  6  7  8  9  A  B  C  D  E  F   Ascii

00000120  00 10 00 00 00 10 00 00 04 00 00 00 00 00 00 00  .............

SectionAlignment(mem) = 1000H ,块在内存中的对齐大小

NumberOfSections = NT_HEADERS->IMAGE_FILE_HEADER-> NumberOfSections (NT+06H)

E8H + +06H = EEH   ,查看EEH的内容
 Offset

最低0.47元/天解锁文章

200万优质内容无限畅学