pe系统文件拷贝文件-(pe系统怎么拷贝文件)

从上图可以看出IID结构确实是由全为0的IID结构作为结束。

输入表结构

IID结构的字段成员如下，其中OriginalFirstThunk、Name以及FirstThunk成员是我们添加DLL文件的关键。

IMAGE_IMPORT_DESCRIPTOR union characteristics DWORD OriginalFirstThunk DWORD //指向IMAGE_THUNK_DATA结构的数组 ends TimeDateStamp DWORD //时间标志 ForwarderChain DWORD //一般为0 Name DWORD //指向DLL名称的指针 FirstThunk DWORD//指向IMAGE_THUNK_DATA结构的数组IMAGE_IMPORT_DESCRIPTOR

在PE文件尚未执行过时，OriginalFirstThunk与FirstThunk字段指向相同的结构，区别在于OriginalFirstThunk不可以重写，而FirstThunk可以被重写，当PE文件执行后FirstThunk指向的结构会用于存放输入函数的真实地址。因此我们修改时将OriginalFirstThunk与FirstThunk字段指向同个地址即可。而Name字段存放的是指向DLL文件名称的指针。

OriginalFirstThunkFirstThunkName指向IMAGE_THUNK_DATA结构的数组指向IMAGE_THUNK_DATA结构的数组指向DLL名称的指针

IMAGE_THUNK_DATA

IMAGE_THUNK_DATA union u1 ForwarderString DWORD //指向一个转向者字符串的RVA Function DWORD //被输入的函数的内存地址 Oridinal DWORD //被输入的API的序数值 AddressOfData DWORD //指向IMAGE_IMPORT_BY_NAMEIMAGE_THUNK_DATA

IMAGE_THUNK_DATA结构在不同情况下的成员不同，但是重点关注AddresOfData字段，该字段指向IMAGE_IMPORT_BY_NAME结构，该结构记录的输入函数的名称。当IMAGE_THUNK_DATA值的双字的最高位为0时，表示函数以字符串类型的函数名方式输入。因此构造时高两个字节为0，低两个字节为IMAGE_IMPORT_BY_NAME结构地址即可。

IMAGE_IMPORT_BY_NAME

IMAGE_IMPORT_BY_NAME STRUCT Hint WORD //忽略设置为0 Name BYTE //输入函数名称IMAGE_IMPORT_BY_NAME

IMAGE_IMPORT_BY_NAME结构的高两字节的值忽略，后门跟着的数据直接填入DLL文件中输出的函数名称，即PE文件运行时会使用到DLL文件中函数的名称。

这里准备两个文件

将HelloWorld.exe文件拖入PEview工具中，查看输入表内容。可以看到并没有载入show.dll文件。