VMProtect保护程序导入表修复原理与实践.pptxVIP

第二章脱壳5.修复导入表

什么是导入表导入表导入表是为实现代码重用而设置的。通过分析导入表数据，可以获得诸如PE文件的指令中调用了多少个外来函数，以及这些外来函数都存在于哪些动态链接库里等信息。Windows加载器在运行PE时会将导入表中声明的动态链接库一并加载到进程的地址空间，并修正指令代码中调用的函数地址。

为什么要修复导入表因为vmp保护的程序，它的导入表是壳的导入表，不是原程序的导入表。我们dump下来后，代码和数据有了，但是代码中的API调用是错误的。脱壳后，壳的导入表就失去作用，可以去掉它。

导入表在数据目录中的位置数据目录的第2个就是导入表的位置和大小，第13个是iat

导入表结构typedefstruct_IMAGE_IMPORT_DESCRIPTOR{ union { DWORDCharacteristics; DWORDOriginalFirstThunk; } DUMMYUNIONNAME; DWORDTimeDateStamp; DWORDForwarderChain; DWORDName; DWORDFirstThunk;}