背景 上次构建了导入表，通过序号导入的，这次通过获取函数名字获取函数 过程 通过以前的exe 在idata里面随便找一个空闲的地方，设置名字 找到0x7a0 输入00004F75747075744465627567537472696E6741 前2个字节是word代表序号，这里直接给0，代表不是序号，但系统一般是带有序号的，但我们自己不需要，所以直接给0就可以了。后面字符串OutPutDebuStringA 在0x700输入 A0210000 0x700是地址 IMAGE_THUNK_DATA32 数据，就是 Ad…
背景 这里进行导入表，方便自己使用代码，导入一个代码进行测试，这个比较方便。 逻辑 分析导入表的逻辑 添加导入表 知识点 导入表的地址是虚拟地址（内存地址，不是相对地址） 需要一个节点起始地址（否则无效），所以如果需要单独节点地址 其他的参数需要分析 typedef struct _IMAGE_IMPORT_DESCRIPTOR { union { DWORD Characteristics; DWORD OriginalFirstThunk; // 包含指向IMAGE_THUNK_DATA(输入名称表)结构的数组…
背景 最近用到一个PE的知识，然后看几篇文章，决定自己二进制编辑器构建一个简单windows exe执行程序，目前这篇文章知识构建一个能够运行，但什么都不会发生程序，因为执行代码只是0xcc 对应汇编只是int 3一个调试中断而已，但已经能够说明一个pe的执行，后续系列会增加全局变量和导入函数等等，慢慢构建能用，同时可能会增加更多好玩地方。 准备工作 imhex(开源二进制编辑工具) PE-bear（pe格式工具） CFF Explore（pe格式工具） 这里用到2个PE工具，因为可以结合起来用，非常方便，CFE …