IAT表

IAT的全称是Import Address Table。
对于每一个引入的可执行文件(例如dll),有一个镜像引入描述符(IMAGE_IMPORT_DESCRIPTOR)。

typedef struct _IMAGE_IMPORT_DESCRIPTOR { 
    union { 
        DWORD Characteristics; // 0 for terminating null import descriptor 
        DWORD OriginalFirstThunk; // RVA to original unbound IAT (PIMAGE_THUNK_DATA) 
    }; 
    DWORD TimeDateStamp; // 0 if not bound, 
    // -1 if bound, and real date\time stamp 
    // in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND) 
    // O.W. date/time stamp of DLL bound to (Old BIND) 

    DWORD ForwarderChain; // -1 if no forwarders 
    DWORD Name; //RVA,指向字符串,是这个可执行文件的名字。例如"ACE.dll" 
    DWORD FirstThunk; // RVA to IAT (if bound this IAT has actual addresses) 
} IMAGE_IMPORT_DESCRIPTOR;

dll的forward不好讲,因为很多都是undocumented的.

我们着重关心两个指针,OriginalFirstThunk和FirstThunk。
Characteristics一词出于历史原因,故在此给它了一个别名,OriginalFirstThunk。
OriginalFirstThunk和FirstThunk是两个DWORD值,存贮着两个RVA数值,其实它们就是两个指针。
OriginalFirstThunk和FirstThunk实际上都是指向同一个数组。
前者,我们称之为INT,而后者,我们称之为IAT.

IAT是一个IMAGE_THUNK_DATA类型的数组。有多少个函数被导入,这个数组就有多少个成员。该数组以0结尾。

typedef struct _IMAGE_THUNK_DATA32 { 
    union { 
        DWORD ForwarderString; // 一个RVA地址,指向forwarder string 

        DWORD Function; // PDWORD,被导入的函数的入口地址 
        DWORD Ordinal; // 该函数的序数 
        DWORD AddressOfData; // 一个RVA地址,指向IMAGE_IMPORT_BY_NAME 
    } u1; 
} IMAGE_THUNK_DATA32;

IMAGE_THUNK_DATA64与IMAGE_THUNK_DATA32的区别,仅仅是把DWORD换成了64位整数。
PIMAGE_IMPORT_BY_NAME是一个非常简单的结构,就两个成员。

typedef struct _IMAGE_IMPORT_BY_NAME { 
    WORD Hint; ///该函数的导出序数 
    BYTE Name[1]; ///该函数的名字 
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

这里我比较好奇的是,为什么Name只有两个字节。
而IMAGE_THUNK_DATA32就是一个非常魔术般的东西了。
struct IMAGE_THUNK_DATA的大小,恰好等于一个指针的大小。(32bit机器下是32bit,64bit机器下是64bit)
每一个IMAGE_THUNK_DATA对应着一个被导入的函数。

对于可执行文件而言,IAT中的IMAGE_THUNK_DATA中存储的要么是Ordinal,要么是AddressOfData。
怎么判断IMAGE_THUNK_DATA中存储的是Ordinal 还是 AddressOfData 呢?
众所周知,在32bit的机器上,地址空间是00000000-FFFFFFFF,
一般而言,其中00000000-7FFFFFFF是用户空间,其它是系统空间。
于是,看IMAGE_THUNK_DATA的最高位,如果是1,就是Ordinal,否则就是AddressOfData。
但是这里还存在一个2GB的问题。因为2GB的用户地址空间对于很多程序不够用,(主要是数据库系统),于是微软就想了一些变通的办法。例如win
2000的/3GB选项。
在启动文件,boot.ini中加上这个选项后,用户空间变成3GB,系统空间减少到1GB。
然后呢?
然后在链接该可执行文件的时候必须加上特殊的选项,这样在PE头就会有一个特殊的设置。
如果开了3GB选项,如果PE头不加这个设置,那么用户空间是2GB,系统空间是1GB.
如果开了3GB选项,且PE头加了这个设置,那么用户空间是3GB,系统空间是1GB.

而INT和IAT中存储的本来应该是同样的数据。

然后说绑定(binding).
当一个可执行文件被绑定的时候,IAT中的IMAGE_THUNK_DATA被改写为(被导入的)该函数的实际地址。
这一步也许是交给链接器在链接的时候执行,也许是在该可执行文件载入的时候执行。

但是,如果,该可执行文件已经和dll绑定。但是这个dll后来又被更改了,这些被导入的函数依然在该dll中存在,但是实际地址已经改变了。还有,我们
保留过一个IAT的副本,它就是INT.(这就是为什么我们称之为Original
FirstThunk).根据INT中的内容,我们可以重建IAT表。
综上所述,将exe文件绑定到dll的最佳时机,是在安装可执行文件的时候。这就是安装程序,Windows installer,所要做的事情之一。
下面说,怎么判断IAT中的信息是否已经过期。
首先,绑定分两种类型,新式的和老式的。
前面已经说过IMAGE_IMPORT_DESCRIPTOR中的TimeDateStamp有三种可能性。
1.TimeDateStamp等于0 =〉 尚未绑定
2.TimeDateStamp等于-1 => 新式绑定
3.其它 => 老式绑定,这里存储的就是上次绑定是在什么时间。

然后我详细介绍下新式绑定

DataDirectory[ IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT ]指向一个重要的数据结构。

typedef struct _IMAGE_BOUND_IMPORT_DESCRIPTOR { 
    DWORD TimeDateStamp; // a DWORD that contains the time/date stamp 
    of the imported DLL. 
    WORD OffsetModuleName; // a WORD that contains an offset to a 
    string with the name of the imported DLL. This field is an offset (not 
    an RVA) from the first IMAGE_BOUND_IMPORT_DESCRIPTOR. 
    WORD NumberOfModuleForwarderRefs; 
    //这个结构体后面还有多少个IMAGE_BOUND_FORWARDER_REF 结构体 
    // Array of zero or more IMAGE_BOUND_FORWARDER_REF follows 
} IMAGE_BOUND_IMPORT_DESCRIPTOR, *PIMAGE_BOUND_IMPORT_DESCRIPTOR;

来看看IMAGE_BOUND_FORWARDER_REF是一个什么样的结构体。

typedef struct _IMAGE_BOUND_FORWARDER_REF { 
    DWORD TimeDateStamp; 
    WORD OffsetModuleName; 
    WORD Reserved; 
} IMAGE_BOUND_FORWARDER_REF, *PIMAGE_BOUND_FORWARDER_REF;

和IMAGE_BOUND_IMPORT_DESCRIPTOR完全相同,除了最后一个字节,它是被保留的。

然后说这两个结构体的作用。
IMAGE_BOUND_IMPORT_DESCRIPTOR的作用很显然。根据TimeDateStamp和OffsetModuleName字段的值
我们就可以判断IAT表中的信息是否已经过期。
但是存在这样一种情况。一个dll导到另一个dll中。例如USER32.DLL和KERNEL32.DLL。
假如USER32.DLL未更改,但是KERNEL32.DLL更改过了。此时需要重建USER32.DLL的IAT。但是我们的程序只是直接用到了
USER32.DLL,于是导入表中就没有KERNEL32.DLL的IAT,也没有KERNEL32.DLL的TimeDateStamp和
OffsetModuleName。于是……

如果一个dll
forward了另一个dll,那么在这个dll的IMAGE_BOUND_IMPORT_DESCRIPTOR结构体后面需要再插入被forward的
dll的IMAGE_BOUND_FORWARDER_REF结构体。之后才是下一个dll的
IMAGE_BOUND_IMPORT_DESCRIPTOR。
而IMAGE_BOUND_IMPORT_DESCRIPTOR.NumberOfModuleForwarderRefs的意义就不言而喻了。

每个dll一个IAT表,一般而言,这些IAT表都是统一存储在一起的。由于每个IAT表是以0结尾。所以很容易分离开来。

此博客中的热门博文

少写代码,多读别人写的代码

在windows下使用llvm+clang

tensorflow distributed runtime初窥