PE檔案結構詳解(五)延遲匯入表

2021-06-28 13:08:17 字數 3455 閱讀 7261

**:

pe檔案結構詳解(四)pe匯入表講了一般的pe匯入表,這次我們來看一下另外一種匯入表:延遲匯入(delay import)。看名字就知道,這種匯入機制匯入其他dll的時機比較「遲」,為什麼要遲呢?因為有些匯入函式可能使用的頻率比較低,或者在某些特定的場合才會用到,而有些函式可能要在程式執行一段時間後才會用到,這些函式可以等到他實際使用的時候再去載入對應的dll,而沒必要再程式一裝載就初始化好。

這個機制聽起來很誘人,因為他可以加快啟動速度,我們應該如何利用這項機制呢?vc有乙個選項,可以讓我們很方便的使用到這項特性,如下圖所示:

在這一項後面填寫需要延遲匯入的dll名稱,聯結器就會自動幫我們將這些dll的匯入變為延遲匯入。

現在我們知道如何使用延遲匯入了,那這個看上去很厲害的機制是如何實現的呢?接下來我們來探索一番。在image_data_directory中,有一項為image_directory_entry_delay_import,這一項便延遲匯入表,image_data_directory.virtualaddress就指向延遲匯入表的起始位址。既然是表,肯定又是乙個陣列,每一項都是乙個imgdelaydescr結構體,和匯入表一樣,每一項都代表乙個匯入的dll,來看看定義:

[cpp]view plain

copy

typedef

struct

imgdelaydescr  imgdelaydescr, * pimgdelaydescr;  

typedef

const

imgdelaydescr *   pcimgdelaydescr;  

grattrs:用來區分版本,1是新版本,0是舊版本,舊版本中後續的rva******域使用的都是指標,而新版本中都用rva,我們只討論新版本。

rvadllname:乙個rva,指向匯入dll的名字。

rvahmod:乙個rva,指向匯入dll的模組基位址,這個基位址在dll真正被匯入前是null,匯入後才是實際的基位址。

rvaiat:乙個rva,表示匯入函式表,實際上指向iat,在dll載入前,iat裡存放的是一小段**的位址,載入後才是真正的匯入函式位址。

rvaint:乙個rva,指向匯入函式的名字表。

rvaunloadiat:延遲匯入函式解除安裝表。

dwtimestamp:延遲匯入dll的時間戳。

定義知道了,那他是怎麼被處理的呢?前面提到了,在延遲匯入函式指向的iat裡,預設儲存的是一段**的位址,當程式第一次呼叫到這個延遲匯入函式時,流程會走到那段**,這段**用來幹什麼呢?請看乙個真實的延遲匯入函式的例子:

[cpp]view plain

copy

.text:75c7a363 __imp_load__internetconnecta@32:        ; internetconnecta(x,x,x,x,x,x,x,x)  

.text:75c7a363                 mov     eax, offset __imp__internetconnecta@32  

.text:75c7a368                 jmp     __tailmerge_wininet  

這段**其實只有兩行彙編,第一行把匯入函式iat項的位址放到eax中,然後用乙個jmp跳轉走,那麼他跳轉到**了呢?我們繼續跟蹤:

[cpp]view plain

copy

__tailmerge_wininet proc near             

.text:75c6bef0                 push    ecx  

.text:75c6bef1                 push    edx  

.text:75c6bef2                 push    eax  

.text:75c6bef3                 push    offset __delay_import_descriptor_wininet  

.text:75c6bef8                 call    __delayloadhelper  

.text:75c6befd                 pop     edx  

.text:75c6befe                 pop     ecx  

.text:75c6beff                 jmp     eax  

.text:75c6beff __tailmerge_wininet endp  

其中最重要的是push了乙個__delay_import_descriptor_wininet,這個就是上文中看到的imgdelaydescr結構,他的dll名字是wininet.dll。之後,call了乙個__delayloadhelper,在這個函式裡,執行了載入dll,查詢匯出函式,填充匯入表等一系列操作,函式結束時iat中已經是真正的匯入函式的位址,這個函式同時返回了匯入函式的位址,因此之後的eax裡儲存的就是函式位址,最後的jmp eax就跳轉到了真實的匯入函式中。

這個過程很完美,也很靈巧,但是如果仔細觀察就會發現什麼地方有點不對勁,你發現了嗎?__delayloadhelper的引數中只有iat項的偏移和整個模組的延遲匯入描述__delay_import_descriptor_wininet,但是引數中並沒有要匯入函式的名字。也許你說,名字在__delay_import_descriptor_wininet的名字表中,是的,那裡確實有名字,但是別忘了,那是個表,裡面存的是所有要從該模組匯入的函式名字,而不是「當前」這個被呼叫函式的函式名。或許你覺得引數中應該有個索引號,用來表示名字列表中的第幾項是即將被匯入的那個函式的名字,不幸的是我們也沒有看到引數中有這樣的資訊存在,那windows執行到這裡是如何得到名字的呢?ms在這裡使用了乙個巧妙的辦法:__delay_import_descriptor_wininet中有一項是rvaiat,前面提到了,這裡實際上就是指向了iat,而且是該模組第乙個匯入函式的iat的偏移,現在我們有兩個偏移,即將匯入的函式iat項的偏移(記作rva1)和要匯入模組第乙個函式iat項的偏移(記作rva0),(rva1-rva0)/4 = 匯入函式iat項在rvaiat中的下標,rvaint中的名字順序與rvaiat中的順序是相同的,所以下標也相同,這樣就能獲取到匯入函式的名字了。有了模組名和函式名,用getprocaddress就可以獲取到匯入函式的位址了。

上述流程用一張圖來總結一下:

最後還有兩點要提醒大家:

延遲匯入的載入只發生在函式第一次被呼叫的時候,之後iat就填充為正確函式位址,不會再走__delayloadhelper了。

延遲匯入一次只會匯入乙個函式,而不是一次匯入整個模組的所有函式。

PE檔案結構詳解(五)延遲匯入表

pe檔案結構詳解 四 pe匯入表講了一般的pe匯入表,這次我們來看一下另外一種匯入表 延遲匯入 delay import 看名字就知道,這種匯入機制匯入其他dll的時機比較 遲 為什麼要遲呢?因為有些匯入函式可能使用的頻率比較低,或者在某些特定的場合才會用到,而有些函式可能要在程式執行一段時間後才會...

PE檔案結構詳解(五)延遲匯入表

pe檔案結構詳解 四 pe匯入表講了一般的pe匯入表,這次我們來看一下另外一種匯入表 延遲匯入 delay import 看名字就知道,這種匯入機制匯入其他dll的時機比較 遲 為什麼要遲呢?因為有些匯入函式可能使用的頻率比較低,或者在某些特定的場合才會用到,而有些函式可能要在程式執行一段時間後才會...

PE檔案結構詳解(五)延遲匯入表

pe檔案結構詳解 四 pe匯入表講了一般的pe匯入表,這次我們來看一下另外一種匯入表 延遲匯入 delay import 看名字就知道,這種匯入機制匯入其他dll的時機比較 遲 為什麼要遲呢?因為有些匯入函式可能使用的頻率比較低,或者在某些特定的場合才會用到,而有些函式可能要在程式執行一段時間後才會...