首页
社区
课程
招聘
关于pe文件延迟加载导入表结构的字段
2013-3-18 12:01 6260

关于pe文件延迟加载导入表结构的字段

2013-3-18 12:01
6260
各位大神,小弟最近在研究PE导入表的延迟加载技术,延迟加载导入表的结构体如下:
IMAGE_DELAY_IMPORT_DESCRIPTOR STRUCT

Attributes  dword   ?
Name         dword   ?
........

IMAGE_DELAY_IMPORT_DESCRIPTOR ENDS
相关资料中描述Name这个字段是一个指向我们延迟加载的dll名称的RVA,但是我在winhex中看到的这个地址是一个虚拟地址(VA),并不是相对虚拟地址(RVA),  在winhex中看到的这个字段的值是 30 20 40 00,即00402030(导入表在内存的偏移为:2000),如果name这个字段指向的是RVA的话,那么这个地方的值不应该是 : 30 20 00 00吗,即00 00 20 30

[培训]《安卓高级研修班(网课)》月薪三万计划

上传的附件:
收藏
点赞0
打赏
分享
最新回复 (5)
雪    币: 1121
活跃值: (510)
能力值: ( LV5,RANK:66 )
在线值:
发帖
回帖
粉丝
supertyj 1 2013-3-18 14:07
2
0
加密与解密299页的上面说,如果Attributes位是1,后面是RVA,如果是0,后面的就是VA。不知道对不对
雪    币: 38
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
darkdig 2013-3-18 14:23
3
0
你这个不是延迟加载导入表的位置
雪    币: 13
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
truthhk 2013-3-19 09:03
4
0
是啊,确实是延迟加载导入表的位置啊,前面00 00 00 00是第一个字段,Attributes字段的值,30 20 40 00是name字段的值, 导入表在内存中的偏移是2000h,在文件中的地址是800h 然后name 字段的值, 00402030-00400000(基地址)-2000(导入表内存偏移)=30h,
然后在文件中的偏移 800h+30h=830h,图片中显示,从830h开始的内容正是我 延迟加载的dll的名字啊,mydll.dll,所以,这个是延迟加载导入表的位置肯定没错
雪    币: 13
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
truthhk 2013-3-19 10:10
5
0
谢谢,我去找了一下 加密解密,基本明白了,结贴
雪    币: 0
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
wx_加速师 2021-2-6 18:24
6
0
这里应该是VA不是RVA,写错了
游客
登录 | 注册 方可回帖
返回