在PE（.exe）中导入表格

Question

我找到了“导入表格”字段的指针。它的大小为8个字节，分为虚拟地址和大小。然而，虚拟地址字段中的值很大，并且误导了我为提取与导入表相关条目的下落有关的任何信息。值是否指向偏移量，如果是这样（.exe）文件在达到所需的偏移量之前完成。

Answer 1

目录表中导入目录的RVA（相对虚拟地址）必须有效。也许你把它转换成物理偏移是有问题的。当然，这是通过遍历节表来找到包含部分。然后从目标RVA中减去该部分的起始RVA。然后只需将该部分的物理偏移量添加到该结果中。这会给你在导入目录文件中的位置。如果您正在使用磁盘上的文件，经常需要从RVA转换为物理偏移量。如果使用内存映像，有时保护实用程序会修改或销毁内存中部分PE头以阻止转储。

一旦你进入导入目录，你仍然有更多的工作要做。一个快速的谷歌显示了比我可能写在这里更好的解释：http://sandsprite.com/CodeStuff/Understanding_imports.html

我是现在'经典'PECompact，PEBundle（现在已停产），和其他PE操作实用程序的作者。