13.5.3 重建DLL的输入表

作者: 段钢等编著 出处:电子工业出版社 　2008-06-22 15:30　   砖    好    评论  条 　进入论坛

阅读提示：《加密与解密》第13章主要讲的是脱壳技术,任何事物都有两面性，有加壳，就必有脱壳,本节为大家介绍重建DLL的输入表。

13.5.3  重建DLL的输入表

ImportREC能很好地支持DLL的输入表的重建，首先，在Options里将“Use PE Header From Disk”默认的选项去除选中。这是因为ImportREC需要获得基址计算RVA值，DLL加载的地址不是默认基址时，从磁盘取默认基址计算会导致结果错误。
 
在ImportREC下拉列表框中选择DLL装载器的进程，此处为loaddll.exe进程。
 
单击“Pick DLL”按钮，在DLL进程列表中选择EdrLib.dll进程（见图13.47）。

图13.47  选择DLL进程

在OEP处，填上DLL入口的RVA值1240h，单击“IAT AutoSearch”按钮获取IAT地址。如果失败，必须手工判断DLL的IAT位置和大小，其RVA为7000h，Size为E8h。
 
单击“Get Imports”按钮，让其分析IAT结构重建输入表。
 
勾选“Add new section”，单击“Fix Dump”按钮，并选择刚抓取的映像文件dumped.dll，它将创建一个dumped_.dll文件。

回书目   上一节   下一节