在PE（.exe）中導入表格

Question

我找到了「導入表格」字段的指針。它的大小爲8個字節，分爲虛擬地址和大小。然而，虛擬地址字段中的值很大，並且誤導了我爲提取與導入表相關條目的下落有關的任何信息。值是否指向偏移量，如果是這樣（.exe）文件在達到所需的偏移量之前完成。

Answer 1

目錄表中導入目錄的RVA（相對虛擬地址）必須有效。也許你把它轉換成物理偏移是有問題的。當然，這是通過遍歷節表來找到包含部分。然後從目標RVA中減去該部分的起始RVA。然後只需將該部分的物理偏移量添加到該結果中。這會給你在導入目錄文件中的位置。如果您正在使用磁盤上的文件，經常需要從RVA轉換爲物理偏移量。如果使用內存映像，有時保護實用程序會修改或銷燬內存中部分PE頭以阻止轉儲。

一旦你進入導入目錄，你仍然有更多的工作要做。一個快速的谷歌顯示了比我可能寫在這裏更好的解釋：http://sandsprite.com/CodeStuff/Understanding_imports.html

我是現在'經典'PECompact，PEBundle（現在已停產），和其他PE操作實用程序的作者。