ring0-遍历IAT（特例NTOS）

http://blog.csdn.net/hgy413/article/details/7786530

原NTOS的IAT只能通过IMAGE_DIRECTORY_ENTRY_IAT（12）来获得，因为NTOS加载完后，INIT方式加载，所以IMAGE_DIRECTORY_ENTRY_IMPORT对应的区域被释放了！
坑爹啊，
可以用windbg很直观的看到：
X86：

x64:

其他的IAT遍历代码如下：

[cpp] view plaincopy

1. NTSTATUS EnumIATTable(ULONG_PTR pBase)
2. {
3. PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)pBase;
4. PIMAGE_NT_HEADERS pNt = NULL;
5. PIMAGE_IMPORT_DESCRIPTOR pImport = NULL;
6. PIMAGE_THUNK_DATA pThunk = NULL;
7. if (NULL == pDos
8. || IMAGE_DOS_SIGNATURE != pDos->e_magic)
9. {
10. return STATUS_INVALID_IMAGE_FORMAT;
11. }
12. pNt = (PIMAGE_NT_HEADERS)((PUCHAR)pBase+pDos->e_lfanew);
13. if (IMAGE_NT_SIGNATURE != pNt->Signature)
14. {
15. return STATUS_INVALID_IMAGE_FORMAT;
16. }
17. pImport = (PIMAGE_IMPORT_DESCRIPTOR)((PUCHAR)pBase+pNt->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);
18. // 枚举打印
19. while (NULL !=pImport
20. && MmIsAddressValid(pImport)
21. &&pImport->Name != 0)
22. {
23. pThunk = (PIMAGE_THUNK_DATA)((PUCHAR)pBase+pImport->FirstThunk);
24. while (NULL != pThunk
25. && MmIsAddressValid(pThunk)
26. && pThunk->u1.Function != 0)
27. {
28. KdPrint(("[EnumIATTable]-Import Module:%s-function:%p\r\n", (PUCHAR)pBase+pImport->Name, pThunk->u1.Function));
29. pThunk++;
30. }
31. pImport++;
32. }
33. return STATUS_SUCCESS;
34. }