(四)利用导入表、导出表和重定位表定位导入函数的地址

最新推荐文章于 2024-06-19 14:45:00 发布
原创 最新推荐文章于 2024-06-19 14:45:00 发布 · 1.5k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文详细介绍了如何在PE文件执行过程中，通过导入表、导出表和重定位表来定位并替换导入函数的地址。以一个具体的例子展示了从程序基址、重定位表到找到真实函数地址的过程，并提到了LoadPE、VS2010、IDA和Depends等工具在分析中的作用。

4.运行程序

         调试运行程序，断点在 "return 0 "语句 直接弹出了窗口：

再来分析，执行完调用语句后，程序的代码：



程序的基址是  0x330000  ，于是根据重定位表，  0x341402 (

最低0.47元/天 解锁文章
(一)利用导入表、导出表和重定位表定位导入函数的地址
systomnet的专栏
05-25 2268
Windows程序中大量使用的DLL文件，主要的作用是共享二进制代码。用户级编程中，核心API都在Kernel32.dll(内存、进程和线程管理)、User32.dll(窗口管理)和GDI32.dll(绘图)中提供。我们使用这些API如MessageBoxA时，只需要包含头文件Windows.h，并且把对应的User32.lib文件提供给链接器，那么系统就把如何找到MessageBoxA的信息放入
(三)利用导入表、导出表和重定位表定位导入函数的地址
systomnet的专栏
05-25 1281
经过分析清单文件，我们知道
获取进程中导入表函数的地址
12-16
普通PE工具，可以静态查看导入函数的名字，和编号。这个项目可以实现查看，导入函数的地址。（主要是技术方面的讨论）
PE结构---获取导入表中函数的实际地址
93Storm
12-17 1038
系统流程图 流程图简要概述： 第一步：通过枚举模块，后去.exe的加载地址,这个地址就是PE在进程中的加载基址。 第二步：计算出导出表的位置。 第三步：将目标进程中的数据读到本进程中。 示例代码下载地址： http://download.youkuaiyun.com/detail/qq_21000273/9362435
PE文件分析之表的导入与导出及重定位
qq_41814777的博客
10-14 2280
导入地址表（Import Address Table, IAT） 导入函数： 导入函数是指，在PE程序运行时会调用的，且代码又不在程序中的函数，一般位于DLL文件中。在调用者程序即PE程序中，只保留导入函数的DLL名称、函数名称等信息。 DLL的装载方式： 采用 隐式链接方式，程序员在建立一个DLL文件时，链接程序会自动生成一个与之对应的LIB导入文件。该文件包含了每一个DLL导出函数的符号名和...
PE获取导出表 导入表 资源表 重定位表
11-30
DLL封装函数PE结构的操作 win32 控制台程序调用并显示 函数原型 typedef PIMAGE_SECTION_HEADER (*GetSectionHead) (PIMAGE_NT_HEADERS NtHead); typedef PIMAGE_IMPORT_DESCRIPTOR (*GetImportHead) (LPVOID iBase,...
掌握PE文件结构：导出表、导入表、资源表与重定位表操作教程
在了解PE文件结构的过程中，关注PE文件中的导出表、导入表、资源表和重定位表是相当重要的。以下是对标题中提及的各个知识点的详细说明： ### PE文件结构 PE（Portable Executable）文件格式是Windows操作系统中...
(二)利用导入表、导出表和重定位表定位导入函数的地址
systomnet的专栏
05-25 861
2.清单文件          首先查看调用 MessageBoxA函数时，生成了什么指令： EXTRN   __imp__MessageBoxA@16:PROC MessageBoxA(NULL,"ImportAndExport","Nothing",MB_OK);     8b f4              movesi, esp     6a 00              pu
PE手工分析-导入表和导入函数地址表分析
happylife1527的专栏
10-15 859
http://www.cnblogs.com/SkyMouse/archive/2012/05/10/2493775.html 在上篇:PE手工分析-PE头 中我们了解了PE文件头内容,在此基础上我们来分析一下导入表和导入函数地址表的内容. 还是使用上篇使用的PE文件来分析,上一篇中我们基本上已经定位出PE头的位置以及相应内容. 在PE扩展头中包含 IMAGE_DATA_DIRECTORY
IDA脚本——输出所有函数名称和地址
zhuzhuzhu22的博客
07-17 6968
本博客由闲散白帽子胖胖鹏鹏胖胖鹏潜力所写，仅仅作为个人技术交流分享，不得用做商业用途。转载请注明出处，未经许可禁止将本博客内所有内容转载、商用。       我们在使用IDA的时候，经常要对分析好的函数结果进行导出，结合其他软件比如OD或者其他二进制分析工具使用，这里我提供一个python脚本，能够将IDA中所有的函数名称和地址提取出来，并且输出成sqlite3数据库，这样即使是函数数量比较多的...
ida导出汇编函数脚本
08-30
如果想将ida里面的函数提取出来，就需要用这个脚本文件
PE-导入表
megaparsec
12-19 2348
导入表 在数据目录中一共有四种类型的数据与导入表数据有关。这四种数据依次为： 1.导入表 2.导入函数地址表 3.绑定导入表 4.延迟加载导入表 2.1 导入表 当程序调用了动态链接库的相关函数，在进行编译和链接的时候，编译程序和链接 程序就会将调用的相关信息写入最终生成的PE文件中，以告诉操作系统这些函数的执行 指令字节码从哪里能够获取。这些信息就是导入表所要描述的内容。 2.2 导入函数 程序开发者在基于汇编语言的源程序中，通过invoke指令调用用户自定义的函数，或者从其他动态链接库中导入的函数。
导入地址表钩取技术解析
最新发布
2401_84466227的博客
06-19 1833
这里需要注意的是，我们需要构建一个自定函数，该函数的返回类型与参数需要与钩取的函数一模一样，这样我们就可以获取所有参数的信息，然后篡改后重新传递给原始的导入函数，即可完成钩取。代码如下，这里篡改原始函数的第一个参数，使计算器......
IAT导入函数地址表 | IT导入表
VI___
10-18 2391
之前对 IAT 的理解一直比较模糊，现在通过一个简单脱壳来梳理一下。 一、场景 用到的两个素材如下，一个没壳，一个有UPX壳。 首先在Crackme中查看MessageBoxA函数的入口地址，不同系统不同版本可能地址不一样，这个程序在我电脑上运行正常，可能在别的电脑上就会出错，为了解决这个兼容问题，IAT（导入函数地址表）就诞生了。 二、栗子 在OD中右键查看所有模块间...
用IDA查看Lib文件的输出函数
syspro的专栏
04-24 7326
编程时有时需要使用他人开发的lib文件，如果没有文档说明的话，用起来很费劲。这时你可以用IDA打开lib文件，在Exports和Functions窗口中查看lib文件的输出函数。有兴趣的话还可以看下反汇编的代码。
[源码和文档分享]根据PE文件格式从导出表中获取指定导出函数的地址
qq_38474647的博客
12-30 217
背景 了解 PE 文件格式，对于做一些数据分析都是比较重要的基础。在 PE 文件格式中，理解导入表以及导出表的工作原理，又是重中之重。理解了 PE 格式的导入表，就可以修改 PE 格式进行 DLL 注入，也可以修改导入表实现 API HOOK 等。理解了 PE 格式的导出表，可以不需要 WIN32 API 函数就可以根据 DLL 加载基址定位出导出函数的名...
PE目录项-导出表（二）以USER32.dll为例
sankernel的博客
02-14 684
USER32.dll IMAGE_EXPORT_DIRECTORY 0:001> lmDvmUSER32 Browse full module list start end module name 77970000 77ab7000 USER32 (deferred) Image path: X:\windows\SysWOW64\USER32.dll Ima...
Windbg导出User32.dll里面的所有函数
fsjaky的专栏
04-20 6123
这里要用到一个 Windbg 命令：x user32!*  X [模块名] ![函数名/*] 解释： X  ：表示查询的意识 x user32!MessageBXA  表示在User32 中查询函数MessageBoxA x user32!* 表示查询所有语句 和SQL 中 * 的意思一样的 如果一个函数名称不记得全部了 你也可以，用部分匹配的方式去查找，如： x user32!M
深入理解反射式dll注入技术
m0_67698950的博客
06-22 1931
前言dll 注入技术是让某个进程主动加载指定的 dll 的技术。恶意软件为了提高隐蔽性，通常会使用 dll 注入技术将自身的恶意代码以 dll 的形式注入高可信进程。常规的 dll 注入技术使用 LoadLibraryA() 函数来使被注入进程加载指定的 dll。常规dll注入的方式一个致命的缺陷是需要恶意的 dll 以文件的形式存储在受害者主机上。这样使得常规 dll 注入技术在受害者主机上留下痕迹较大，很容易被 edr 等安全产品检测到。为了弥补这个缺陷，stephen fewer 提出了反射式 dll
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值