phpgetheadershttps技巧_干货分享丨表哥带你进修导入表及导入表注入

导入表的概述

导入表是逆向和病毒剖析中比较主要的一个表，在剖析病毒时险些第一韶光都要看一下程序导入表的内容，判断程序大概用了哪些功能。

导入表位于数据目录项中的第二项，一样平常会有多个，每调用一个DLL便存在一张导入表，导入表记录了导入的dll中被调用的函数地址。

导入表构造体 IMAGE_IMPORT_DESCRIPTOR

typedef struct _IMAGE_IMPORT_DESCRIPTOR{ union{ DWORD Characteristics; DWORD OriginalFirstThunk; }; DWORD TimeDataStamp; DWORD ForwarderChain; DWORD Name; DWORD FirstThunk;} IMAGE_IMPORT_DESCRIPTOR;typedef IMAGE_IMPORT_DESCRIPTOR UNALGNED PIMAGE_IMPORT_DESCRIPTOR;OriginalFirstThunk 指引导入名称表INT(Import Name Table)的RVA，INT是IMAGE_THUNK_DATA构造的数组，以内容为0的IMAGE_THUNK_DATA构造结束，每个IMAGE_THUNK_DATA指向IMAGE_IMPORT_BY_NAME构造。
TimeDataStamp 韶光戳，当其值为-1时，采取绑定导入技能进行加载。
Name，指向存储函数名字的RVA。
FirstThunk 指引导入地址表IAT(Import Address Table)的RVA，IAT与INT构造相同，也是一个IMAGE_THUNK_DATA构造的数组。

导入绑定技能

一样平常情形下，在程序加载前IAT表和INT表中的内容相同，都是程序引用的dll中的函数名或序号，加载完成后IAT表中将更换为函数的真正地址。

但在加载前IAT表中直接写绝对地址是可以实现的，并且具有启动速率快的优点，但是如果在dll重定位时，没能霸占自身ImageBase处的地址，则须要修复绝对地址，当dll被修正时，IAT表中对应的函数地址可能被改，须要修复函数地址。

这种办法被称为绑定导入，在Windows自带的记事本中，就采取了这种办法。

IMAGE_THUNK_DATA

typedef struct _IMAGE_THUNK_DATA32 { union { PBYTEForwarderString; PDWORD Function; DWORD Ordinal; PIMAGE_IMPORT_BY_NAMEAddressOfData; } u1; } IMAGE_THUNK_DATA32; typedef IMAGE_THUNK_DATA32 PIMAGE_THUNK_DATA32;Ordinal 被导入的API的序号值AddressOfData 指向IMAGE_IMPORT_BY_NAME的RVA

当IMAGE_THUNK_DATA值的最高位为1时，表示函数以序号办法导入，这时低31位被看做一个函数序号，当对号为0时，表示函数以字符串类型的函数名办法输入，这时双字的值是一个RVA，指向一个IMAGE_IMPORT_BY_NAME构造。

IMAGE_IMPORT_BY_NAME

存储了一个输入函数的干系信息

typedef struct _IMAGE_IMPORT_BY_NAME { WORD Hint; BYTE Name[1]; } IMAGE_IMPORT_BY_NAME, PIMAGE_IMPORT_BY_NAME;Hint 记录了函数在DLL的导出表中的序号，不是必须的，可以为空。
Name 输入函数的函数名，是一个字符串以0结尾。

导入地址表IAT

IAT由PE装载看重写，PE装载器先搜索OriginalFirstThunk指向的INT表，如果找到，则遍历数组，找出每个IMAGE_IMPORT_BY_NAME构造所指向的输入函数的地址，加载器用函数真正的日寇地址代替由FirstThunk指向的IMAGE_THUNK_DATA数组里元素的值。

在加载前，非导入绑定情形下，INT表与IAT表中的内容是一样的。

PE文件加载后，IAT表被更换为函数的入口地址。

在加载前，可以看到：

FirstThunkFOA(23280)->IMAGE_THUNK_DATA32(0242BC)->IMAGE_IMPORT_BY_NAME(232B0)->Name="MessageBoxA"

在加载后的内存中，可以看到：

FirstThunkFOA(42428C)->IMAGE_THUNK_DATA32(77D5050B)函数地址

打印输出导入表

定位导入表

得到数据目录项第二项中的VirtualAddress 将其RVA转为FOA，用以定位到导入表构造，将导入表构造中的DWORD Name打印输出，即定位导入表，打印DLL名。

遍历INT表

通过导入表中的OriginalFirstThunk定义到INT表，以此判断IMAGE_THUNK_DATA数组的最高位是否为1，如果为1则按到导出序号导出，如果为0则其指向IMAGE_IMPORT_BY_NAME的RVA，将其转换成FOA，定位到IMAGE_IMPORT_BY_NAME，输出函数名字，依次遍历，直到数组结尾。

遍历IAT表

通过导入表中的FirstThunk定义到IAT表，余下方法同上。

实当代码

// PrintImport.cpp : Defines the entry point for the console application.//#include "stdafx.h"#include "stdlib.h"#include "windows.h"size_t FileLength(FILE fp){ size_t num; fseek(fp,0,SEEK_END);//将文件指针移动到文件尾部 num = ftell(fp);//获取文件指针确当前位置 fseek(fp,0,SEEK_SET); return num;}LPVOID readFile(PCHAR path)//将文件中的数据读取到内存中{ FILE fp; size_t len; LPVOID pFileBuffer; fp = fopen(path,"rb"); if(fp == NULL) { printf("error\n"); } len = FileLength(fp);//获取文件大小 pFileBuffer = (LPVOID)malloc(len);//申请动态内存 fread(pFileBuffer,len,1,fp); fclose(fp); return pFileBuffer;}DWORD RVATOFOA(DWORD RVA,LPVOID pFileBuffer){ DWORD FOA = NULL; PIMAGE_DOS_HEADER pDosHeader = NULL; PIMAGE_NT_HEADERS pNtHeaders = NULL; PIMAGE_FILE_HEADER pFileHeader = NULL; PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL; PIMAGE_SECTION_HEADER pSectionHeader = NULL; pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer; pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew); pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4); pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER); pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader); if(RVA <= pOptionalHeader->SizeOfHeaders) return RVA; //此处不须要减去ImageBase 此处的RVA是基于FileAliment和SectionAliment来说的，并不是真正的内存中的RVA，此处的程序并没有在内存中运行 for(;RVA > (pSectionHeader->VirtualAddress + pSectionHeader->Misc.VirtualSize);pSectionHeader++);//定位到所在节 FOA = RVA - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData; return FOA;}DWORD FOATORVA(DWORD FOA,LPVOID pFileBuffer){ DWORD RVA = NULL; PIMAGE_DOS_HEADER pDosHeader = NULL; PIMAGE_NT_HEADERS pNtHeaders = NULL; PIMAGE_FILE_HEADER pFileHeader = NULL; PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL; PIMAGE_SECTION_HEADER pSectionHeader = NULL; pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer; pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew); pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4); pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER); pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader); if(FOA <= pOptionalHeader->SizeOfHeaders) return FOA; //此处不须要减去ImageBase 此处的RVA是基于FileAliment和SectionAliment来说的，并不是真正的内存中的RVA，此处的程序并没有在内存中运行 for(;FOA > (pSectionHeader->VirtualAddress + pSectionHeader->Misc.VirtualSize);pSectionHeader++);//定位到所在节 RVA = FOA - pSectionHeader->PointerToRawData + pSectionHeader->VirtualAddress ; return RVA;}VOID PrintImport(LPVOID pFileBuffer){ PIMAGE_DOS_HEADER pDosHeader = NULL;//DOS头 PIMAGE_NT_HEADERS pNtHeaders = NULL;//NT头 PIMAGE_FILE_HEADER pFileHeader = NULL;//标准PE头 PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL;//拓展PE头 PIMAGE_SECTION_HEADER pSectionHeader = NULL;//节表 PIMAGE_SECTION_HEADER pNewSec = NULL;//新节表构造 PIMAGE_EXPORT_DIRECTORY pExportDirectory = NULL; //导出表构造体 PIMAGE_IMPORT_DESCRIPTOR pImportDescriptop = NULL;//导入表构造体 pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer; pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew); pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4); pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER); //定位导入表地址 DWORD offsetImportFoa = RVATOFOA(pOptionalHeader->DataDirectory[1].VirtualAddress,pFileBuffer); //printf(); pImportDescriptop = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)pFileBuffer + offsetImportFoa); while(pImportDescriptop->Name != NULL && pImportDescriptop->OriginalFirstThunk != NULL && pImportDescriptop->FirstThunk != NULL) { DWORD offsetDllNameFoa = RVATOFOA(pImportDescriptop->Name,pFileBuffer); PCHAR DllName = (PCHAR)((DWORD)pFileBuffer + offsetDllNameFoa); printf("\nDLLName:%s ",DllName); printf("OriginalFirstThunk:%x\n",pImportDescriptop->OriginalFirstThunk); DWORD offsetThunkFOA = RVATOFOA(pImportDescriptop->OriginalFirstThunk,pFileBuffer); PDWORD ImageThunk = (PDWORD)((DWORD)pFileBuffer + offsetThunkFOA); printf("======INT======\n"); while(ImageThunk != 0x0000) { printf("ThunkValue:%x",ImageThunk); PIMAGE_IMPORT_BY_NAME IBName = NULL; try{ if(ImageThunk & 0x80000000) { printf("按序号导出:%x\n",ImageThunk & 0x7FFFFFFF); }else { DWORD IBNameFoa = RVATOFOA(ImageThunk,pFileBuffer); IBName = (PIMAGE_IMPORT_BY_NAME)((DWORD)pFileBuffer+IBNameFoa); printf("Hit Name:%x-%s\n",IBName->Hint,IBName->Name); } ImageThunk++; }catch(...) { printf("\n"); ImageThunk++; } } printf("======IAT======\n"); DWORD FirstThunkFOA = RVATOFOA(pImportDescriptop->FirstThunk,pFileBuffer); ImageThunk = (PDWORD)((DWORD)pFileBuffer + FirstThunkFOA); while(ImageThunk != 0x0000) { printf("ThunkValue:%x",ImageThunk); PIMAGE_IMPORT_BY_NAME IBName = NULL; try{ if(ImageThunk & 0x80000000) { printf("按序号导出:%x\n",ImageThunk & 0x7FFFFFFF); }else { DWORD IBNameFoa = RVATOFOA(ImageThunk,pFileBuffer); IBName = (PIMAGE_IMPORT_BY_NAME)((DWORD)pFileBuffer+IBNameFoa); printf("Hit Name:%x-%s\n",IBName->Hint,IBName->Name); } ImageThunk++; }catch(...) { printf("\n"); ImageThunk++; } } pImportDescriptop++; }}int main(int argc, char argv[]){ LPVOID pFileBuffer = NULL; LPVOID pNewSecFoa = NULL; PCHAR path = "C:\\飞鸽传书.exe."; pFileBuffer = readFile(path); PrintImport(pFileBuffer); system("pause"); return 0;}

导入表注入

工具及运行环境：

实验程序下载：

链接：

https://pan.baidu.com/s/1pWWsqkLb_hjF7ksfnMkqeQ

提取码：x5b7

事理

当exe被加载时，系统会根据exe导入表信息来加载须要用到的DLL，导入表注入的事理便是修正exe导入表，将自己的DLL添加到exe的导入表中，这样exe运行时可以将自己的DLL加载到exe的进程空间。

实现步骤

1、新增节表用来存储移动后的导入表(这里也可以扩大节，或者是找节区的空缺区)；

2、根据目录项(第二个值便是导入表)得到导入表的VirtualAddress和Size；

3、将VirtualAddress RVA转FOA 定位到导入表；

4、将原导入表全部Copy到空缺区(只须要移动原导入表，不须要改变OriginalFirstThunk和FirstThunk)；

5、在新的导入表后面，追加一个导入表；

6、在原导入表IID所在的内存空间，追加8个字节的INT表，8个字节的IAT表，追加一个IMAGE_IMPORT_BY_NAME 构造，前2个字节是0 后面是函数名称字符串；

7、将IMAGE_IMPORT_BY_NAME构造的RVA赋值给INT和IAT表中的第一项，并改动导入表的OriginalFirstThunk和FirstThunk；

8、分配空间存储DLL名称字符串 并将该字符串的RVA赋值给Name属性；

9、改动IMAGE_DATA_DIRECTORY构造的VirtualAddress和Size。

手动实现

1、根据目录项，得到导入表的VritualAddress为01CE80，RVA->FOA = 1CE80

2、定位到导入表

导入表的大小为1cf48 - 1ce80 = 0xC8 = 200

3、探求代码空缺区

我们须要探求一个空间大小>240字节的空缺区[原来的导入表(200) + 新增导入表(20) + 结束符(20)]

节区的代码空缺区大小 = SizeofRawData - VirtualSize

.text节知足我们的哀求，我们定位到代码空缺区

4、将原导入表复制到空缺区

将原导入表复制到1a730处

从后面的空缺处开始删除200个字节（由于复制粘贴并不是覆盖原来的，而是新增了200个字节，并将原来的字节向后添补）。

5、在新的导入表后，追加一个导入表。

即从1a7f8开始，将20个字节修正为FFFFFFFF 00000000 00000000 FFFFFFFF FFFFFFFF，已备后续修正。

对应如下：

6、追加一个IMAGE_IMPORT_BY_NAME构造，前2个字节是0后面是函数名称字符串。

原导入表的位置为1ce80，在原导入表所在的内存空间，追加8个字节的INT表，8个字节的IAT表。

7、将IMAGE_IMPORT_BY_NAME构造的RVA赋值给INT和IAT表中的第一项。

IMAGE_IMPORT_BY_NAME的FOA地址为1ce90，转换成RVA为1ce90。

转换为小端显示：90 ce 01 00，将其添补到INT表和IAT表中。

改动导入表的OriginalFirstThunk

INT的FOA地址为：01ce80 RVA为01ce80，转换成小端显示为，80 CE 01 00改动OriginalFirstThunk。

IAT的FOA地址为：01ce88 RVA为01ce88，转换成小端显示为，88 CE 01 00改动FirstThunk。

8、分配空间存储DLL名称字符串，并将该字符串的RVA赋值给Name属性。

在新增的IMAGE_IMPORT_BY_NAME后(地址为1cea1)，追加DLL名称字符串。

1cea1 FOA转换为RVA 1cea1，转换成小端显示A1 CE 01 00，改动导入表Name。

9、改动IMAGE_DATA_DIRECTORY构造的VirtualAddress和Size。

Size=DC+0x14（新增了一个导入表）

VirtualAddress = FOA：1A730转换为RVA为1A730转换成小端显示：30 A7 01 00

改动VirtualAddress 和Size：

将InjectDll.dll放到与被修正的程序同一目录下，运行程序。

成功弹出弹窗！

// ImportInject.cpp : Defines the entry point for the console application.//#include "stdafx.h"#include "stdlib.h"#include "windows.h"size_t FileLength(FILE fp){ size_t num; fseek(fp,0,SEEK_END);//将文件指针移动到文件尾部 num = ftell(fp);//获取文件指针确当前位置 fseek(fp,0,SEEK_SET); return num;}LPVOID readFile(PCHAR path)//将文件中的数据读取到内存中{ FILE fp; size_t len; LPVOID pFileBuffer; fp = fopen(path,"rb"); if(fp == NULL) { printf("error\n"); } len = FileLength(fp);//获取文件大小 pFileBuffer = (LPVOID)malloc(len);//申请动态内存 fread(pFileBuffer,len,1,fp); fclose(fp); return pFileBuffer;}DWORD RVATOFOA(DWORD RVA,LPVOID pFileBuffer){ DWORD FOA = NULL; PIMAGE_DOS_HEADER pDosHeader = NULL; PIMAGE_NT_HEADERS pNtHeaders = NULL; PIMAGE_FILE_HEADER pFileHeader = NULL; PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL; PIMAGE_SECTION_HEADER pSectionHeader = NULL; pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer; pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew); pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4); pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER); pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader); if(RVA <= pOptionalHeader->SizeOfHeaders) return RVA; //此处不须要减去ImageBase 此处的RVA是基于FileAliment和SectionAliment来说的，并不是真正的内存中的RVA，此处的程序并没有在内存中运行 for(;RVA > (pSectionHeader->VirtualAddress + pSectionHeader->Misc.VirtualSize);pSectionHeader++);//定位到所在节 FOA = RVA - pSectionHeader->VirtualAddress + pSectionHeader->PointerToRawData; return FOA;}DWORD FOATORVA(DWORD FOA,LPVOID pFileBuffer){ DWORD RVA = NULL; PIMAGE_DOS_HEADER pDosHeader = NULL; PIMAGE_NT_HEADERS pNtHeaders = NULL; PIMAGE_FILE_HEADER pFileHeader = NULL; PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL; PIMAGE_SECTION_HEADER pSectionHeader = NULL; pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer; pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew); pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4); pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER); pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader); if(FOA <= pOptionalHeader->SizeOfHeaders) return FOA; //此处不须要减去ImageBase 此处的RVA是基于FileAliment和SectionAliment来说的，并不是真正的内存中的RVA，此处的程序并没有在内存中运行 for(;FOA > (pSectionHeader->VirtualAddress + pSectionHeader->Misc.VirtualSize);pSectionHeader++);//定位到所在节 RVA = FOA - pSectionHeader->PointerToRawData + pSectionHeader->VirtualAddress ; return RVA;}BOOL ImportInject(LPVOID pFileBuffer,PCHAR pInjectDllName,PCHAR pImportFunName)//Inject{ PIMAGE_DOS_HEADER pDosHeader = NULL;//DOS头 PIMAGE_NT_HEADERS pNtHeaders = NULL;//NT头 PIMAGE_FILE_HEADER pFileHeader = NULL;//标准PE头 PIMAGE_OPTIONAL_HEADER pOptionalHeader = NULL;//拓展PE头 PIMAGE_SECTION_HEADER pSectionHeader = NULL;//节表 PIMAGE_SECTION_HEADER pNewSec = NULL;//新节表构造 pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer; pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew); pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4); pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER); pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader); //判断是否有足够的空间添加节表 if ((pOptionalHeader->SizeOfHeaders - ((DWORD)pSectionHeader - (DWORD)pFileBuffer + pFileHeader->NumberOfSections 40)) < 80) { printf("空间不敷"); return false; } //新增节表构造 pNewSec = (PIMAGE_SECTION_HEADER)(pSectionHeader + pFileHeader->NumberOfSections); //修正节表内容 memcpy(pNewSec->Name,".export",8);//修正节表名 PIMAGE_SECTION_HEADER upSecHeader = (PIMAGE_SECTION_HEADER)(pSectionHeader + pFileHeader->NumberOfSections-1); if(upSecHeader->Misc.VirtualSize > upSecHeader->SizeOfRawData)//修正节表VrituallAddress { pNewSec->VirtualAddress = upSecHeader->VirtualAddress + upSecHeader->Misc.VirtualSize; }else{ pNewSec->VirtualAddress = upSecHeader->VirtualAddress + upSecHeader->SizeOfRawData; } pNewSec->SizeOfRawData = 0x1000;//新增的节区的大小 pNewSec->PointerToRawData = upSecHeader->PointerToRawData + upSecHeader->SizeOfRawData;//文件中的偏移 pNewSec->Characteristics = 0x60000020;//修正属性(可实行) //在新增节表后增加40个字节的空缺区 memset((LPVOID)(pNewSec+1), 0, sizeof(pNewSec)); //修正NT头属性 pFileHeader->NumberOfSections += 1;//修正NumberOfSection数量 pOptionalHeader->SizeOfImage += 0x1000;//修正SizeOfImage大小 LPVOID NewBuffer = malloc(pOptionalHeader->SizeOfImage);//申请内存 memset(NewBuffer, 0, pOptionalHeader->SizeOfImage);//初始化内存 memcpy(NewBuffer, pFileBuffer,pOptionalHeader->SizeOfImage);//复制内存 //定位导入表 DWORD ImportDescrFOA = RVATOFOA(pOptionalHeader->DataDirectory[1].VirtualAddress,pFileBuffer); PIMAGE_IMPORT_DESCRIPTOR ImportDescr = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)NewBuffer + ImportDescrFOA); LPVOID pNewSecAddr = (LPVOID)((DWORD)NewBuffer+pNewSec->PointerToRawData); memcpy(pNewSecAddr,ImportDescr,pOptionalHeader->DataDirectory[1].Size);//复制导入表 //添加新的导入表 PIMAGE_IMPORT_DESCRIPTOR NewImport = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)NewBuffer + pNewSec->PointerToRawData + pOptionalHeader->DataDirectory[1].Size - sizeof(NewImport));//新的导入表 //添加INT、IAT、Name PIMAGE_THUNK_DATA NewINT = (PIMAGE_THUNK_DATA)((DWORD)NewBuffer + ImportDescrFOA); PIMAGE_THUNK_DATA NewIAT = (PIMAGE_THUNK_DATA)((DWORD)NewBuffer + ImportDescrFOA + 0x8); PCHAR NewDllName = (PCHAR)((DWORD)NewBuffer + ImportDescrFOA + 0x8 + 0x8); memcpy(NewDllName,pInjectDllName,strlen(pInjectDllName)+0x1);//Dll名 PIMAGE_IMPORT_BY_NAME NewName = (PIMAGE_IMPORT_BY_NAME)((DWORD)NewBuffer + ImportDescrFOA + 0x8 + 0x8 + strlen(pInjectDllName)+0x1); NewName->Hint = 0x0; memcpy(NewName->Name,pImportFunName,strlen(pImportFunName)+1);//导出函数名 memset(NewINT, 0, 0xf);//清空原有数据 NewINT->u1.AddressOfData = (PIMAGE_IMPORT_BY_NAME)FOATORVA((DWORD)(ImportDescrFOA + 0x8 + 0x8 + strlen(pInjectDllName)+0x1),NewBuffer); NewIAT->u1.AddressOfData = (PIMAGE_IMPORT_BY_NAME)FOATORVA((DWORD)(ImportDescrFOA + 0x8 + 0x8 + strlen(pInjectDllName)+0x1),NewBuffer); //改动新增加的导入表 NewImport->OriginalFirstThunk = FOATORVA(ImportDescrFOA,NewBuffer); NewImport->FirstThunk = FOATORVA(ImportDescrFOA + 0x8,NewBuffer); NewImport->Name = FOATORVA(ImportDescrFOA + 0x8 + 0x8,NewBuffer); memset((LPVOID)((DWORD)NewImport+sizeof(NewImport)),0,sizeof(NewImport)); //改动 数据段 pDosHeader = (PIMAGE_DOS_HEADER)NewBuffer; pNtHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew); pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pNtHeaders + 4); pOptionalHeader = (PIMAGE_OPTIONAL_HEADER)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER); pOptionalHeader->DataDirectory[1].VirtualAddress = pNewSec->VirtualAddress; pOptionalHeader->DataDirectory[1].Size += 0x20; FILE fp = fopen("C:\\fg.exe","wb+"); fwrite(NewBuffer,pOptionalHeader->SizeOfImage,1,fp); fclose(fp); return 0;}int main(int argc, char argv[]){ LPVOID pFileBuffer = NULL; LPVOID pNewSecFoa = NULL; PCHAR path = "C:\\飞鸽传书.exe"; pFileBuffer = readFile(path); ImportInject(pFileBuffer,"InjectDll.dll","ExportFunction"); system("pause"); return 0;}

以上是本日禀享的内容，大家看懂了吗？