IDA分析脱壳后丢失导入表的PE

1. 问题

一些程序经过脱壳后（如用OD的dump插件），一些导入表信息丢失了，导致拖入IDA后看不到API的信息(如右图所示，第一个红圈处实际是GetCurrentProcessId)，给分析造成极大影响。

 

2. 分析

从OD来看，41F480处的值就是API GetCurrentProcessId的地址，也就是壳修改后的导入表的位置，该地址在.rsrc Section内，即程序的资源段内，那么我们需要修复其导入表，以指向资源段内的地址

3. 修复导入表

《加密与解密》第3版的13.4.4节”重建输入表”(P340)就详细的讲解了利用ImportREC重建输入表的方法。

1> 用OD脱壳后断下(如本demo就在CreateMutexW或者CreateEventW上下断点即可断到脱壳后的代码)

2> 找个函数头作为OEP输入到Import REC中（当然如果能找到真正的OEP也是可以的），然后点击”IDAT AutoSearch”，然后点击”Get Imports”，得到下图的结果

3> 用OD dump脱壳后的PE后，再用Import REC点击”Fix Dump”即可修复导入表

4. IDA导入修复后的dump

1> 由于dump的导入表不在.rdata中了，IDA不会去自动加载.rsrc段的数据，这样即使修复了导入表后IDA也不能正常识别API函数，这时需要勾选”Manual Load”项，让IDA加载.rsrc段

              

2> IDA分析完成后，就能正常的显示dump调用的API了

时间： 2024-10-15 02:45:42

IDA分析脱壳后丢失导入表的PE的相关文章

Qt编译mysql以及创建表后进行导入操作

鉴于许多同学对Qt编译myql总是不能成功,出现各种问题,今天特此写出本教程,希望能够帮到需要的同学. 首先,需要明白编译的目的和原理. 目的:Qt 5.2版本以前都是不带mysql驱动的,所以需要进行编译mysql数据库驱动,只有编译完成后才能被Qt加载上.如果你安装的是Qt5.2以后版本的,那就不需要了,因为在后来的版本中,Qt官方增加这一模块. 可以在Qt的安装插件目录下查看自己的驱动是否已经存在.例如我的在目录: C:\Qt\4.8.2\plugins\sqldrivers.可以看到当前

《初识PE》导入表

最近听别人讲的我晕晕乎乎的,于是上网上百度下,感觉这篇还不错.  链接:http://www.blogfshare.com/pe-export.html 一.导入表简介 在编程中常常用到"导入函数"(Import functions),导入函数就是被程序调用但其执行代码又不在程序中的函数,这些函数的代码位于一个或者多个DLL中,在调用者程序中只保留一些函数信息,包括函数名及其驻留的DLL名等. 于磁盘上的PE 文件来说,它无法得知这些输入函数在内存中的地址,只有当PE 文件被装入内存后

小甲鱼PE详解之输入表（导入表）详解（PE详解07）

捷径并不是把弯路改直了,而是帮你把岔道堵上! 走得弯路跟成长的速度是成正比的!不要害怕走上弯路,弯路会让你懂得更多,最终还是会在终点交汇! 岔路会将你引入万劫不复的深渊,并越走越深…… 在开始讲解输入表(导入表)概念之前,请允许小甲鱼童鞋用简短的几句话来总结之前我们学过的内容,并做进一步的思想综合提升,注意咯! 首先,我们知道PE 文件中的数据被载入内存后根据不同页面属性被划分成很多区块(节),并有区块表(节表)的数据来描述这些区块.这里我们需要注意的问题是:一个区块中的数据仅仅只是由于属性相同

导入表结构复习 导入模块，函数名称，地址遍历

关于PE结构导入表,以前只是手动分析,没有通过编程来实现.而且PE文件结构,不巩固的话,一段时间之后就会忘记,所以记录下这次试验,为IAT挂钩做好准备,也算是复习一下. 测试 环境:windows xp sp3 IDE: vs 2008 sp1 build:release #include <windows.h> #include <stdio.h> #include <DbgHelp.h> #pragma comment(lib,"dbghelp.lib&q

oracle中导出导入表以及数据

Oracle数据导入导出imp/exp就相当于oracle数据还原与备份.exp命令可以把数据从远程数据库服务器导出到本地的dmp文件,imp命令可以把dmp文件从本地导入到远处的数据库服务器中.利用这个功能可以构建两个相同的数据库,一个用来测试,一个用来正式使用.执行环境:可以在SQLPLUS.EXE或者DOS(命令行)中执行,DOS中可以执行时由于 在oracle 8i 中安装目录\ora81\BIN被设置为全局路径,该目录下有EXP.EXE与IMP.EXE文件被用来执行导入导出.oracl

PE文件结构详解（四）PE导入表

PE文件结构详解(二)可执行文件头的最后展示了一个数组,PE文件结构详解(三)PE导出表中解释了其中第一项的格式,本篇文章来揭示这个数组中的第二项:IMAGE_DIRECTORY_ENTRY_IMPORT,即导入表. 也许大家注意到过,在IMAGE_DATA_DIRECTORY中,有几项的名字都和导入表有关系,其中包括:IMAGE_DIRECTORY_ENTRY_IMPORT,IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT,IMAGE_DIRECTORY_ENTRY_IAT

PE文件结构详解（五）延迟导入表

PE文件结构详解(四)PE导入表讲 了一般的PE导入表,这次我们来看一下另外一种导入表:延迟导入(Delay Import).看名字就知道,这种导入机制导入其他DLL的时机比较“迟”,为什么要迟呢?因为有些导入函数可能使用的频率比较低,或者在某些特定的场 合才会用到,而有些函数可能要在程序运行一段时间后才会用到,这些函数可以等到他实际使用的时候再去加载对应的DLL,而没必要再程序一装载就初始化好. 这个机制听起来很诱人,因为他可以加快启动速度,我们应该如何利用这项机制呢?VC有一个选项,可以让我

android Contacts/Acore进程常常被Kill，导致联系人开机后丢失怎么办？

Contacts/Acore进程,在内存较少和开机进程过多的情况下会常常被 ActivityManager Kill 掉. 导致Sim卡联系人开机后未导入或者仅仅导入一部分,造成联系人丢失的现象,可是又一次开机后能够恢复正常. 遇到这种问题能够採用下面方法提供Contacts/Acore进程的优先级,减少被ActivityManager 杀掉的概率. 方法1: 提高进程优先级 startForeground(1, new Notification()); 减少进程优先级 stopForegrou

android Contacts/Acore进程经常被Kill，导致联系人开机后丢失怎么办？

Contacts/Acore进程,在内存较少和开机进程过多的情况下会经常被 ActivityManager Kill 掉, 导致Sim卡联系人开机后未导入或者只导入一部分,造成联系人丢失的现象,但是重新开机后可以恢复正常. 遇到这样的问题可以采用以下方法提供Contacts/Acore进程的优先级,降低被ActivityManager 杀掉的概率. 方法1: 提高进程优先级 startForeground(1, new Notification()); 降低进程优先级 stopForegroun