搜索

[19594] 2020-03-17_干货分享丨表哥带你学习导入表及导入表注入

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-03-17_干货分享丨表哥带你学习导入表及导入表注入 干 货 分 享 丨 表 哥 带 你 学 习 导 入 表 及 导 入 表 注 入 原 创   f l a g 0   i 春 秋   2 0 2 0 - 0 3 - 1 7 今 天 的 文 章 分 享 是   i   春 秋 论 坛 作 者 f l a g 0 原 创 的 文 章 ， 浅 析 导 入 表 及 导 入 表 注 入 浅 析 导 入 表 及 导 入 表 注 入 的 相 关 内 容 ， 文 章 篇 幅 较 长 ， 阅 读 时 长 约 1 5 分 钟 ， 文 章 未 经 许 可 禁 止 转 载 ！ 注 ： i   春 秋 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 导 入 表 的 概 述 导 入 表 的 概 述 导 入 表 是 逆 向 和 病 毒 分 析 中 比 较 重 要 的 一 个 表 ， 在 分 析 病 毒 时 几 乎 第 一 时 间 都 要 看 一 下 程 序 导 入 表 的 内 容 ， 判 断 程 序 大 概 用 了 哪 些 功 能 。   导 入 表 位 于 数 据 目 录 项 中 的 第 二 项 ， 一 般 会 有 多 个 ， 每 调 用 一 个 D L L 便 存 在 一 张 导 入 表 ， 导 入 表 记 录 了 导 入 的 d l l 中 被 调 用 的 函 数 地 址 。 导 入 表 结 构 体 导 入 表 结 构 体   I M A G E _ I M P O R T _ D E S C R I P T O R
O r i g i n a l F i r s t T h u n k   指 向 导 入 名 称 表 I N T ( I m p o r t   N a m e   T a b l e ) 的 R V A ， I N T 是 I M A G E _ T H U N K _ D A T A 结 构 的 数 组 ， 以 内 容 为 0 的 I M A G E _ T H U N K _ D A T A 结 构 结 束 ， 每 个 I M A G E _ T H U N K _ D A T A 指 向 I M A G E _ I M P O R T _ B Y _ N A M E 结 构 。 T i m e D a t a S t a m p   时 间 戳 ， 当 其 值 为 - 1 时 ， 采 用 绑 定 导 入 技 术 进 行 加 载 。 N a m e ， 指 向 存 储 函 数 名 字 的 R V A 。 F i r s t T h u n k   指 向 导 入 地 址 表 I A T ( I m p o r t   A d d r e s s   T a b l e ) 的 R V A ， I A T 与 I N T 结 构 相 同 ， 也 是 一 个 I M A G E _ T H U N K _ D A T A 结 构 的 数 组 。 导 入 绑 定 技 导 入 绑 定 技 术 术   一 般 情 况 下 ， 在 程 序 加 载 前 I A T 表 和 I N T 表 中 的 内 容 相 同 ， 都 是 程 序 引 用 的 d l l 中 的 函 数 名 或 序 号 ， 加 载 完 成 后 I A T 表 中 将 替 换 为 函 数 的 真 正 地 址 。 但 在 加 载 前 I A T 表 中 直 接 写 绝 对 地 址 是 可 以 实 现 的 ， 并 且 具 有 启 动 速 度 快 的 优 点 ， 但 是 如 果 在 d l l 重 定 位 时 ， 没 能 占 据 自 身 I m a g e B a s e 处 的 地 址 ， 则 需 要 修 复 绝 对 地 址 ， 当 d l l 被 修 改 时 ， I A T 表 中 对 应 的 函 数 地 址 可 能 被 改 ， 需 要 修 复 函 数 地 址 。 这 种 方 式 被 称 为 绑 定 导 入 ， 在 W i n d o w s 自 带 的 记 事 本 中 ， 就 采 用 了 这 种 方 式 。 I M A G E _ T H U N K _ D A T A t y p e d e f   s t r u c t   _ I M A G E _ I M P O R T _ D E S C R I P T O R {         u n i o n {                 D W O R D   C h a r a c t e r i s t i c s ;                 D W O R D   O r i g i n a l F i r s t T h u n k ;         } ;         D W O R D   T i m e D a t a S t a m p ;         D W O R D   F o r w a r d e r C h a i n ;         D W O R D   N a m e ;         D W O R D   F i r s t T h u n k ; }   I M A G E _ I M P O R T _ D E S C R I P T O R ; t y p e d e f   I M A G E _ I M P O R T _ D E S C R I P T O R   U N A L G N E D   * P I M A G E _ I M P O R T _ D E S C R I P T O R ;
O r d i n a l   被 导 入 的 A P I 的 序 号 值 A d d r e s s O f D a t a   指 向 I M A G E _ I M P O R T _ B Y _ N A M E 的 R V A 当 I M A G E _ T H U N K _ D A T A 值 的 最 高 位 为 1 时 ， 表 示 函 数 以 序 号 方 式 导 入 ， 这 时 低 3 1 位 被 看 做 一 个 函 数 序 号 ， 当 对 号 为 0 时 ， 表 示 函 数 以 字 符 串 类 型 的 函 数 名 方 式 输 入 ， 这 时 双 字 的 值 是 一 个 R V A ， 指 向 一 个 I M A G E _ I M P O R T _ B Y _ N A M E 结 构 。 I M A G E _ I M P O R T _ B Y _ N A M E 存 储 了 一 个 输 入 函 数 的 相 关 信 息 H i n t   记 录 了 函 数 在 D L L 的 导 出 表 中 的 序 号 ， 不 是 必 须 的 ， 可 以 为 空 。 N a m e   输 入 函 数 的 函 数 名 ， 是 一 个 字 符 串 以 0 结 尾 。 导 入 地 址 表 导 入 地 址 表 I A T   I A T 由 P E 装 载 器 重 写 ， P E 装 载 器 先 搜 索 O r i g i n a l F i r s t T h u n k 指 向 的 I N T 表 ， 如 果 找 到 ， 则 遍 历 数 组 ， 找 出 每 个 I M A G E _ I M P O R T _ B Y _ N A M E 结 构 所 指 向 的 输 入 函 数 的 地 址 ， 加 载 器 用 函 数 真 正 的 日 寇 地 址 代 替 由 F i r s t T h u n k 指 向 的 I M A G E _ T H U N K _ D A T A 数 组 里 元 素 的 值 。 t y p e d e f   s t r u c t   _ I M A G E _ T H U N K _ D A T A 3 2   {                                                                                 u n i o n   {                                                                                   P B Y T E     F o r w a r d e r S t r i n g ;                                                                                   P D W O R D   F u n c t i o n ;                                                                                         D W O R D   O r d i n a l ;                                   P I M A G E _ I M P O R T _ B Y _ N A M E     A d d r e s s O f D a t a ;         }   u 1 ;                                                                       }   I M A G E _ T H U N K _ D A T A 3 2 ;                                                                       t y p e d e f   I M A G E _ T H U N K _ D A T A 3 2   *   P I M A G E _ T H U N K _ D A T A 3 2 ; t y p e d e f   s t r u c t   _ I M A G E _ I M P O R T _ B Y _ N A M E   {         W O R D         H i n t ;                     B Y T E         N a m e [ 1 ] ;                                                       }   I M A G E _ I M P O R T _ B Y _ N A M E ,   * P I M A G E _ I M P O R T _ B Y _ N A M E ;
在 加 载 前 ， 非 导 入 绑 定 情 况 下 ， I N T 表 与 I A T 表 中 的 内 容 是 一 样 的 。 P E 文 件 加 载 后 ， I A T 表 被 替 换 为 函 数 的 入 口 地 址 。 在 加 载 前 ， 可 以 看 到 ： F i r s t T h u n k F O A ( 2 3 2 8 0 ) - > I M A G E _ T H U N K _ D A T A 3 2 ( 0 2 4 2 B C ) - > I M A G E _ I M P O R T _ B Y _ N A M E ( 2 3 2 B 0 ) - > N a m e = " M e s s a g e B o x A "
在 加 载 后 的 内 存 中 ， 可 以 看 到 ： F i r s t T h u n k F O A ( 4 2 4 2 8 C ) - > I M A G E _ T H U N K _ D A T A 3 2 ( 7 7 D 5 0 5 0 B ) 函 数 地 址 打 印 输 出 导 入 打 印 输 出 导 入 表 表     实 现 思 路 实 现 思 路 定 位 导 入 表 定 位 导 入 表 获 得 数 据 目 录 项 第 二 项 中 的 V i r t u a l A d d r e s s   将 其 R V A 转 为 F O A ， 用 以 定 位 到 导 入 表 结 构 ， 将 导 入 表 结 构 中 的 D W O R D   N a m e 打
印 输 出 ， 即 定 位 导 入 表 ， 打 印 D L L 名 。 遍 历 遍 历 I N T 表 表 通 过 导 入 表 中 的 O r i g i n a l F i r s t T h u n k 定 义 到 I N T 表 ， 以 此 判 断 I M A G E _ T H U N K _ D A T A 数 组 的 最 高 位 是 否 为 1 ， 如 果 为 1 则 按 到 导 出 序 号 导 出 ， 如 果 为 0 则 其 指 向 I M A G E _ I M P O R T _ B Y _ N A M E 的 R V A ， 将 其 转 换 成 F O A ， 定 位 到 I M A G E _ I M P O R T _ B Y _ N A M E ， 输 出 函 数 名 字 ， 依 次 遍 历 ， 直 到 数 组 结 尾 。 遍 历 遍 历 I A T 表 表 通 过 导 入 表 中 的 F i r s t T h u n k 定 义 到 I A T 表 ， 余 下 方 法 同 上 。 实 现 代 码 实 现 代 码 / /   P r i n t I m p o r t . c p p   :   D e f i n e s   t h e   e n t r y   p o i n t   f o r   t h e   c o n s o l e   a p p l i c a t i o n . / / # i n c l u d e   " s t d a f x . h " # i n c l u d e   " s t d l i b . h " # i n c l u d e   " w i n d o w s . h " s i z e _ t   F i l e L e n g t h ( F I L E   * f p ) {         s i z e _ t   n u m ;         f s e e k ( f p , 0 , S E E K _ E N D ) ; / / 将 文 件 指 针 移 动 到 文 件 尾 部         n u m   =   f t e l l ( f p ) ; / / 获 取 文 件 指 针 的 当 前 位 置         f s e e k ( f p , 0 , S E E K _ S E T ) ;         r e t u r n   n u m ; } L P V O I D   r e a d F i l e ( P C H A R   p a t h ) / / 将 文 件 中 的 数 据 读 取 到 内 存 中 {         F I L E *   f p ;         s i z e _ t   l e n ;         L P V O I D   p F i l e B u f f e r ;         f p   =   f o p e n ( p a t h , " r b " ) ;         i f ( f p   = =   N U L L )         {                 p r i n t f ( " e r r o r n " ) ;
        }         l e n   =   F i l e L e n g t h ( f p ) ; / / 获 取 文 件 大 小         p F i l e B u f f e r   =   ( L P V O I D ) m a l l o c ( l e n ) ; / / 申 请 动 态 内 存         f r e a d ( p F i l e B u f f e r , l e n , 1 , f p ) ;         f c l o s e ( f p ) ;         r e t u r n   p F i l e B u f f e r ; } D W O R D   R V A T O F O A ( D W O R D   R V A , L P V O I D   p F i l e B u f f e r ) {         D W O R D   F O A   =   N U L L ;         P I M A G E _ D O S _ H E A D E R   p D o s H e a d e r   =   N U L L ;         P I M A G E _ N T _ H E A D E R S   p N t H e a d e r s   =   N U L L ;         P I M A G E _ F I L E _ H E A D E R   p F i l e H e a d e r   =   N U L L ;         P I M A G E _ O P T I O N A L _ H E A D E R   p O p t i o n a l H e a d e r   =   N U L L ;         P I M A G E _ S E C T I O N _ H E A D E R   p S e c t i o n H e a d e r   =   N U L L ;         p D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) p F i l e B u f f e r ;         p N t H e a d e r s   =   ( P I M A G E _ N T _ H E A D E R S ) ( ( D W O R D ) p D o s H e a d e r   +   p D o s H e a d e r - > e _ l f a n e w ) ;         p F i l e H e a d e r   =   ( P I M A G E _ F I L E _ H E A D E R ) ( ( D W O R D ) p N t H e a d e r s   +   4 ) ;         p O p t i o n a l H e a d e r   =   ( P I M A G E _ O P T I O N A L _ H E A D E R ) ( ( D W O R D ) p F i l e H e a d e r   +   I M A G E _ S I Z E O F _ F I L E _ H E A D E R ) ;         p S e c t i o n H e a d e r   =   ( P I M A G E _ S E C T I O N _ H E A D E R ) ( ( D W O R D ) p O p t i o n a l H e a d e r   +   p F i l e H e a d e r - > S i z e O f O p t i o n a l H e a d e r ) ;         i f ( R V A   < =   p O p t i o n a l H e a d e r - > S i z e O f H e a d e r s )                 r e t u r n   R V A ;         / / 此 处 不 需 要 减 去 I m a g e B a s e   此 处 的 R V A 是 基 于 F i l e A l i m e n t 和 S e c t i o n A l i m e n t 来 说 的 ， 并 不 是 真 正 的 内 存 中 的 R V A ， 此 处 的 程 序 并 没 有 在 内 存 中 运 行         f o r ( ; R V A   >   ( p S e c t i o n H e a d e r - > V i r t u a l A d d r e s s   +   p S e c t i o n H e a d e r - > M i s c . V i r t u a l S i z e ) ; p S e c t i o n H e a d e r + + ) ; / / 定 位 到 所 在 节         F O A   =   R V A   -   p S e c t i o n H e a d e r - > V i r t u a l A d d r e s s   +   p S e c t i o n H e a d e r - > P o i n t e r T o R a w D a t a ;         r e t u r n   F O A ; } D W O R D   F O A T O R V A ( D W O R D   F O A , L P V O I D   p F i l e B u f f e r ) {
{         D W O R D   R V A   =   N U L L ;         P I M A G E _ D O S _ H E A D E R   p D o s H e a d e r   =   N U L L ;         P I M A G E _ N T _ H E A D E R S   p N t H e a d e r s   =   N U L L ;         P I M A G E _ F I L E _ H E A D E R   p F i l e H e a d e r   =   N U L L ;         P I M A G E _ O P T I O N A L _ H E A D E R   p O p t i o n a l H e a d e r   =   N U L L ;         P I M A G E _ S E C T I O N _ H E A D E R   p S e c t i o n H e a d e r   =   N U L L ;         p D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) p F i l e B u f f e r ;         p N t H e a d e r s   =   ( P I M A G E _ N T _ H E A D E R S ) ( ( D W O R D ) p D o s H e a d e r   +   p D o s H e a d e r - > e _ l f a n e w ) ;         p F i l e H e a d e r   =   ( P I M A G E _ F I L E _ H E A D E R ) ( ( D W O R D ) p N t H e a d e r s   +   4 ) ;         p O p t i o n a l H e a d e r   =   ( P I M A G E _ O P T I O N A L _ H E A D E R ) ( ( D W O R D ) p F i l e H e a d e r   +   I M A G E _ S I Z E O F _ F I L E _ H E A D E R ) ;         p S e c t i o n H e a d e r   =   ( P I M A G E _ S E C T I O N _ H E A D E R ) ( ( D W O R D ) p O p t i o n a l H e a d e r   +   p F i l e H e a d e r - > S i z e O f O p t i o n a l H e a d e r ) ;         i f ( F O A   < =   p O p t i o n a l H e a d e r - > S i z e O f H e a d e r s )                 r e t u r n   F O A ;         / / 此 处 不 需 要 减 去 I m a g e B a s e   此 处 的 R V A 是 基 于 F i l e A l i m e n t 和 S e c t i o n A l i m e n t 来 说 的 ， 并 不 是 真 正 的 内 存 中 的 R V A ， 此 处 的 程 序 并 没 有 在 内 存 中 运 行         f o r ( ; F O A   >   ( p S e c t i o n H e a d e r - > V i r t u a l A d d r e s s   +   p S e c t i o n H e a d e r - > M i s c . V i r t u a l S i z e ) ; p S e c t i o n H e a d e r + + ) ; / / 定 位 到 所 在 节         R V A   =   F O A   -   p S e c t i o n H e a d e r - > P o i n t e r T o R a w D a t a   +   p S e c t i o n H e a d e r - > V i r t u a l A d d r e s s   ;         r e t u r n   R V A ; } V O I D   P r i n t I m p o r t ( L P V O I D   p F i l e B u f f e r ) {         P I M A G E _ D O S _ H E A D E R   p D o s H e a d e r   =   N U L L ; / / D O S 头         P I M A G E _ N T _ H E A D E R S   p N t H e a d e r s   =   N U L L ; / / N T 头         P I M A G E _ F I L E _ H E A D E R   p F i l e H e a d e r   =   N U L L ; / / 标 准 P E 头         P I M A G E _ O P T I O N A L _ H E A D E R   p O p t i o n a l H e a d e r   =   N U L L ; / / 拓 展 P E 头         P I M A G E _ S E C T I O N _ H E A D E R   p S e c t i o n H e a d e r   =   N U L L ; / / 节 表         P I M A G E _ S E C T I O N _ H E A D E R   p N e w S e c   =   N U L L ; / / 新 节 表 结 构         P I M A G E _ E X P O R T _ D I R E C T O R Y   p E x p o r t D i r e c t o r y   =   N U L L ;   / / 导 出 表 结 构 体         P I M A G E _ I M P O R T _ D E S C R I P T O R   p I m p o r t D e s c r i p t o p   =   N U L L ; / / 导 入 表 结 构 体         p D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) p F i l e B u f f e r ;         p N t H e a d e r s   =   ( P I M A G E _ N T _ H E A D E R S ) ( ( D W O R D ) p D o s H e a d e r   +   p D o s H e a d e r - > e _ l f a n e w ) ;
        p F i l e H e a d e r   =   ( P I M A G E _ F I L E _ H E A D E R ) ( ( D W O R D ) p N t H e a d e r s   +   4 ) ;         p O p t i o n a l H e a d e r   =   ( P I M A G E _ O P T I O N A L _ H E A D E R ) ( ( D W O R D ) p F i l e H e a d e r   +   I M A G E _ S I Z E O F _ F I L E _ H E A D E R ) ;         / / 定 位 导 入 表 地 址         D W O R D   o f f s e t I m p o r t F o a   =   R V A T O F O A ( p O p t i o n a l H e a d e r - > D a t a D i r e c t o r y [ 1 ] . V i r t u a l A d d r e s s , p F i l e B u f f e r ) ;         / / p r i n t f ( ) ;         p I m p o r t D e s c r i p t o p   =   ( P I M A G E _ I M P O R T _ D E S C R I P T O R ) ( ( D W O R D ) p F i l e B u f f e r   +   o f f s e t I m p o r t F o a ) ;         w h i l e ( p I m p o r t D e s c r i p t o p - > N a m e   ! =   N U L L   & &   p I m p o r t D e s c r i p t o p - > O r i g i n a l F i r s t T h u n k   ! =   N U L L   & &   p I m p o r t D e s c r i p t o p - > F i r s t T h u n k   ! =   N U L L )         {                 D W O R D   o f f s e t D l l N a m e F o a   =   R V A T O F O A ( p I m p o r t D e s c r i p t o p - > N a m e , p F i l e B u f f e r ) ;                 P C H A R   D l l N a m e   =   ( P C H A R ) ( ( D W O R D ) p F i l e B u f f e r   +   o f f s e t D l l N a m e F o a ) ;                 p r i n t f ( " n D L L N a m e : % s   " , D l l N a m e ) ;                 p r i n t f ( " O r i g i n a l F i r s t T h u n k : % x n " , p I m p o r t D e s c r i p t o p - > O r i g i n a l F i r s t T h u n k ) ;                 D W O R D   o f f s e t T h u n k F O A   =   R V A T O F O A ( p I m p o r t D e s c r i p t o p - > O r i g i n a l F i r s t T h u n k , p F i l e B u f f e r ) ;                 P D W O R D   I m a g e T h u n k   =   ( P D W O R D ) ( ( D W O R D ) p F i l e B u f f e r   +   o f f s e t T h u n k F O A ) ;                 p r i n t f ( " = = = = = = I N T = = = = = = n " ) ;                 w h i l e ( * I m a g e T h u n k   ! =   0 x 0 0 0 0 )                 {                         p r i n t f ( " T h u n k V a l u e : % x     " , * I m a g e T h u n k ) ;                         P I M A G E _ I M P O R T _ B Y _ N A M E   I B N a m e   =   N U L L ;                         t r y {                                 i f ( * I m a g e T h u n k   &   0 x 8 0 0 0 0 0 0 0 )                                 {                                         p r i n t f ( " 按 序 号 导 出 : % x n " , * I m a g e T h u n k   &   0 x 7 F F F F F F F ) ;                                 } e l s e                                 {                                         D W O R D   I B N a m e F o a   =   R V A T O F O A ( * I m a g e T h u n k , p F i l e B u f f e r ) ;                                         I B N a m e   =   ( P I M A G E _ I M P O R T _ B Y _ N A M E ) ( ( D W O R D ) p F i l e B u f f e r + I B N a m e F o a ) ;                                         p r i n t f ( " H i t   N a m e : % x - % s n " , I B N a m e - > H i n t , I B N a m e - > N a m e ) ;                                 }                                 I m a g e T h u n k + + ;                         } c a t c h ( . . . )                         {                                 p r i n t f ( " n " ) ;                                 I m a g e T h u n k + + ;
                        }                 }                 p r i n t f ( " = = = = = = I A T = = = = = = n " ) ;                 D W O R D   F i r s t T h u n k F O A   =   R V A T O F O A ( p I m p o r t D e s c r i p t o p - > F i r s t T h u n k , p F i l e B u f f e r ) ;                 I m a g e T h u n k   =   ( P D W O R D ) ( ( D W O R D ) p F i l e B u f f e r   +   F i r s t T h u n k F O A ) ;                 w h i l e ( * I m a g e T h u n k   ! =   0 x 0 0 0 0 )                 {                         p r i n t f ( " T h u n k V a l u e : % x     " , * I m a g e T h u n k ) ;                         P I M A G E _ I M P O R T _ B Y _ N A M E   I B N a m e   =   N U L L ;                         t r y {                                 i f ( * I m a g e T h u n k   &   0 x 8 0 0 0 0 0 0 0 )                                 {                                         p r i n t f ( " 按 序 号 导 出 : % x n " , * I m a g e T h u n k   &   0 x 7 F F F F F F F ) ;                                 } e l s e                                 {                                         D W O R D   I B N a m e F o a   =   R V A T O F O A ( * I m a g e T h u n k , p F i l e B u f f e r ) ;                                         I B N a m e   =   ( P I M A G E _ I M P O R T _ B Y _ N A M E ) ( ( D W O R D ) p F i l e B u f f e r + I B N a m e F o a ) ;                                         p r i n t f ( " H i t   N a m e : % x - % s n " , I B N a m e - > H i n t , I B N a m e - > N a m e ) ;                                 }                                 I m a g e T h u n k + + ;                         } c a t c h ( . . . )                         {                                 p r i n t f ( " n " ) ;                                 I m a g e T h u n k + + ;                         }                 }                 p I m p o r t D e s c r i p t o p + + ;         } } i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ) {         L P V O I D   p F i l e B u f f e r   =   N U L L ;         L P V O I D   p N e w S e c F o a   =   N U L L ;         P C H A R   p a t h   =   " C : 飞 鸽 传 书 . e x e . " ;         p F i l e B u f f e r   =   r e a d F i l e ( p a t h ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理