jiurl pe 格式学习总结（三）-- pe文件中的输入函数.htm

关于win2000核心编程的文章

      <FONT face=宋体>JIURL PE 格式学习总结（二）-- 
      PE文件中的输出函数）。所以我们还需要函数名或者序号，这两者之一。PE文件的输入部分，有这些内容。我们还可以想到，当一个PE文件被执行的时候，它会把所用的输入函数所在的每一个文件载入内存，并且，根据函数名或者序号，获得每一个输入函数的入口地址，存放起来，在程序执行的时候使用。还有就是，一个可执行文件一般都使用好几个PE文件（通常是dll）的输出函数。所以需要有多个dll（就说成dll吧，提供输出函数的PE文件差不多都是dll，下面就按dll说）的相关信息。</FONT></P>
      <P><FONT face=宋体>&nbsp;&nbsp;&nbsp; 
      前面我们已经得到了输入部分在文件中开始的位置，在输入部分的最开始，是一个</FONT>IMAGE_IMPORT_DESCRIPTOR 
      结构数组，这个数组的最后一个元素内容全为空，标示着这个数组的结束，这个数组的每个元素，保存着一个dll的相关信息。紧跟着这个IMAGE_IMPORT_DESCRIPTOR数组的是几个紧挨着的DWORD数组， 
      数组的每个元素存有函数名字符串的RVA，或者直接保存序号，每个数组的最后一项为空，标示结束。这几个数组之后，紧跟着的是dll名字的字符串和各个输入函数名结构。&nbsp;</P>
      <P>IMAGE_IMPORT_DESCRIPTOR 结构在WINNT.H中定义如下。</P>
      <P>typedef struct _IMAGE_IMPORT_DESCRIPTOR {<BR>union {<BR>DWORD 
      Characteristics; // 0 for terminating null import descriptor<BR>DWORD 
      OriginalFirstThunk; // RVA to original unbound IAT 
      (PIMAGE_THUNK_DATA)<BR>};<BR>DWORD TimeDateStamp; // 0 if not bound,<BR>// 
      -1 if bound, and real date\time stamp<BR>// in 
      IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)<BR>// O.W. date/time stamp 
      of DLL bound to (Old BIND)<BR><BR>DWORD ForwarderChain; // -1 if no 
      forwarders<BR>DWORD Name;<BR>DWORD FirstThunk; // RVA to IAT (if bound 
      this IAT has actual addresses)<BR>} IMAGE_IMPORT_DESCRIPTOR;</P>
      <P>这个结构长度为20个字节，共有5个字段。<BR>各字段含义如下：</P>
      <P>OriginalFirstThunk：（在WINNT.H中Characteristics这个叫法已经不对了）这里实际上保存着一个RVA，这个RVA指向一个DWORD数组，这个数组可以叫做输入查询表。每个数组元素，或者叫一个表项，保存着一个指向函数名的RVA或者保存着一个函数的序号。<BR>TimeDateStamp：当这个值为0的时候，表明还没有bind。不为0的话，表示已经bind过了。有关bind的内容后面介绍。<BR>ForwarderChain：<BR>Name：一个RVA，这个RVA指向一个ascii以空字符结束的字符串，这个字符串就是本结构对应的dll文件的名字。<BR>FirstThunk：一个RVA,这个RVA指向一个DWORD数组，这个数组可以叫输入地址表。如果bind了的话，这个数组的每个元素，就是一个输入函数的入口地址。</P>
      <P>输入查询表，就是OriginalFirstThunk所指向的那个DWORD数组，它的每一个元素是一个DWORD值，当最高位为1时，低31位中的值，就是一个序号。当最高位为0时，这个元素的值就是一个指向一个输入函数名结构的RVA。这个数组的最后一个元素值为空，表示数组的结束。</P>
      <P>输入函数名结构，在WINNT.H中定义如下。</P>
      <P>typedef struct _IMAGE_IMPORT_BY_NAME {<BR>WORD Hint;<BR>BYTE 
      Name[1];<BR>} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;</P>
      <P>这个结构的长度不定，有两个成员。第一个成员是一个WORD类型，长2个字节，保存着输入函数的序号。第二个成员是一个ascii字符串，这个字符串是输入函数的名字。为了保证字对齐，可能会在ascii结束符\0之后再填充一个\0。比如，1b 
      01 4e 74 54 65 72 6d 69 6e 61 74 65 50 72 6f 63 65 73 73 00 00 
      ，如果不填充最后一个00的话，长度为21个字节，不是字对齐。所以要填充一个00。</P>
      <P>输入地址表，就是FirstThunk所指向的那个DWORD数组，它的每一个元素是一个DWORD值。如果程序已经bind了的话，（判断依据是TimeDateStamp，TimeDateStamp为0则没有bind）那么这里的每个元素的值，就是一个输入函数的入口地址。如果没有bind的话，那么在本pe文件执行时，载入器会载入dll文件，获得每一个输入函数的入口地址，并填入这个输入地址表的每一项中。（这些是我猜的，大家但愿我猜对吧）这个数组的最后一个元素值为空，表示数组的结束。</P>
      <P>bind，从上面的介绍中可以看到，如果没有bind的话，每次pe文件被执行时，载入器都要查询一遍每个函数的入口地址，所以为了优化这一点，就有了bind,把入口点直接存在输入地址表中。</P>
      <P>载入器会载入所需要的dll。注意一下没有bind的情况下，载入器对输入部分所要做的事情。总之，在载入之后，所需的dll（根据文件名）已经都被载入到内存。并且输入地址表中的每一个元素都是一个输入函数的入口地址了。</P>
      <P>下面我们来看一个例子，通过例子就可以明白是怎么回事了。</P>
      <P>我们的例子是Win2k中的exe文件csrss.exe。为了防止大家版本不同，本文附带了这个PE文件。</P>
      <P>每个结构的不同成员用 / 分开。每行是一个结构。可以用16进制编辑器打开附带的 routetab.dll 
      对照着看。<BR>括号中内容为注释。</P>
      <P>用开始讲到的寻找输入部分在文件中位置的方法，我们找到了输入部分在文件中的位置为000008DCh。<BR>我们来计算一下第一个IMAGE_IMPORT_DESCRIPTOR中的OriginalFirstThunk，Name，FirstThunk。<BR>输入部分所在节的开始rva（由DataDirectory[2]得到）为1000h。输入部分在节在文件中的位置为600h。<BR>Name为rva(值从结构中可以看到是0000135e，如果你不明白为什么是0000135e而不是5e130000的话，请看 
      《JIURL PE 格式学习总结（一）》中关于 
      big-endian和little-endian的介绍)，则Name相对于所在节开始处的偏移为135e-1000。而Name在文件中的位置为Name在相对于所在节开始的偏移加上所在节开始处在文件中的位置。所以Name在文件中的位置为135eh-1000h+600h=95eh。同样方法我们可以算出， 
      OriginalFirstThunk：<BR>1318-1000+600=918。FirstThunk：1000-1000+600=600。</P>
      <P>000008DC: 18 13 00 00 / ff ff ff ff / ff ff ff ff / 5e 13 00 00 / 00 10 
      00 
      00&nbsp;<BR>（结构IMAGE_IMPORT_DESCRIPTOR，每个代表一个dll。可以看到两个IMAGE_IMPORT_DESCRIPTOR，所以本PE文件的输入函数，是由两个dll提供的。第三个全为空，表示结束。）<BR>000008F0: 
      20 13 00 00 / ff ff ff ff / ff ff ff ff / c2 13 00 00 / 08 10 00 
      00&nbsp;<BR>（结构IMAGE_IMPORT_DESCRIPTOR）<BR>00000904: 00 00 00 00 / 00 00 
      00 00 / 00 00 00 00 / 00 00 00 00 / 00 00 00 
      00&nbsp;&nbsp;<BR>（全为空，表示结束IMAGE_IMPORT_DESCRIPTOR数组结束）<BR>00000918: 44 13 
      00 00 (文件中的地址为1344-1000+600=944，指向一个输入函数名结构)<BR>0000091C: 00 00 00 00 
      （为空，一个输入查询表结束）<BR>00000920: 84 13 00 00 
      (文件中的地址为1384-1000+600=984，指向一个输入函数名结构)<BR>00000924: 98 13 00 00 
      (1398-1000+600=998)<BR>00000928: 6a 13 00 00 
      (136a-1000+600=96a)<BR>0000092C: ae 13 00 00 
      (13ae-1000+600=9ae)<BR>00000930: cc 13 00 00 
      (13cc-1000+600=9cc)<BR>00000934: dc 13 00 00 
      (13dc-1000+600=9dc)<BR>00000938: ee 13 00 00 
      (13ee-1000+600=9ee)<BR>0000093C: 0e 14 00 00 
      (140e-1000+600=a0e)<BR>00000940: 00 00 00 00 （为空，一个输入查询表结束）<BR>00000944: 
      18 00 / 43 73 72 53 65 72 76 65 72 49 6e 69 74 69 61 6c 69 7a 61 74 69 6f 
      6e 00<BR>（输入函数名结构 IMAGE_IMPORT_BY_NAME hint为18 Name为 
      "CsrServerInitialization."）<BR>0000095E: 43 53 52 53 52 56 2e 64 6c 6c 00 
      00&nbsp;<BR>（第一个IMAGE_IMPORT_DESCRIPTOR的Name指向这里"CSRSRV.dll"）<BR>0000096A: 
      00 01 / 4e 74 53 65 74 49 6e 66 6f 72 6d 61 74 69 6f 6e 50 72 6f 63 65 73 
      73 00<BR>（"NtSetInformationProcess."）<BR>00000984: 1c 01 / 4e 74 54 65 72 
      6d 69 6e 61 74 65 54 68 72 65 61 64 00<BR>00000998: 1b 01 / 4e 74 54 65 72 
      6d 69 6e 61 74 65 50 72 6f 63 65 73 73 00 00<BR>000009AE: d8 00 / 4e 74 52 
      61 69 73 65 48 61 72 64 45 72 72 6f 72 00 00<BR>000009C2: 6e 74 64 6c 6c 
      2e 64 6c 6c 00<BR>000009CC: 0d 00 / 44 62 67 42 72 65 61 6b 50 6f 69 6e 74 
      00&nbsp;<BR>000009DC: 4a 01 / 52 74 6c 41 6c 6c 6f 63 61 74 65 48 65 61 70 
      00<BR>000009EE: 85 02 / 52 74 6c 55 6e 69 63 6f 64 65 53 74 72 
      69&nbsp;<BR>6e 67 54 6f 41 6e 73 69 53 74 72 69 6e 67 00 00<BR>00000A0E: 
      30 02 / 52 74 6c 4e 6f 72 6d 61 6c 69 7a 65 50 72 6f 63 65 73 73 50 61 72 
      61 6d 73 00<BR>00000A2A: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
      00<BR>00000A3A: ...<BR><BR>00000600: 38 1f f8 5f&nbsp;<BR>00000604: 00 00 
      00 00 （为空，一个输入地址表结束）<BR>00000608: 6d f0 f8 77<BR>0000060C: d8 c3 f8 
      77<BR>00000610: a5 b7 f8 77<BR>00000614: 38 a4 f9 77<BR>00000618: df f9 f9 
      77<BR>0000061C: 6b 97 fc 77<BR>00000620: ec e5 f8 77<BR>00000624: 18 2c f9 
      77<BR>00000628: 00 00 00 00 （为空，一个输入地址表结束）</P>
      <P>本例比较可惜的是，在两个输入查询表中，都是函数名结构的RVA，没有直接的序号（是序号还是RVA的判别方法为，看最高位是否为1，为1，其余部分表示序号。为0，整个字段表示RVA）。<BR><BR></P>
      <P><B>三 遍历PE文件中的输入</B></P>
      <P><B>&nbsp;&nbsp;&nbsp; 
      </B>用while循环，遍历IMAGE_IMPORT_DESCRIPTOR数组的每个元素（每个可以找到一个dll的信息和该dll提供的输入函数）。当某元素的值都为空时，表示遍历到了数组的最后。而对于IMAGE_IMPORT_DESCRIPTOR数组的一个元素，再用while循环，遍历IMAGE_IMPORT_DESCRIPTOR中，两个RVA所指的两个DWORD数组，输入查询表和输入地址表。判断结束的条件也是看，是否数组元素的值已经为空了。也就是while（..）{..while(..){}..}这样就可获得每一个有关输入的内容。</P>
      <P>&nbsp;&nbsp;&nbsp; 实现遍历输入的源程序，可以参考 PEDUMP - Matt Pietrek 1995 
      。《Windows95系统程式设计大奥秘》附书源码中有。</P>
      <P><B>完</B></P>
      <P align=center><A 
      href="http://jiurl.cosoft.org.cn/jiurl/document/jiurlpe/csrss.exe">本文所使用的PE文件csrss.exe</A><BR></P></TD></TR></TBODY></TABLE></DIV></BODY></HTML>