2015_лекции / Лекция №3.1_2015

Импорт данных

Статическое связывание

Код из библиотеки целиком копируется в код программы

Динамическое связывание

загрузка символов осуществляется при загрузке программы

Связывание во время выполнения программы

LoadLibrary

GetProcAddress

LdrGetProcAddress

LdrLoadDll

Импорт данных

Символы (функции, данные) могут быть загружены из внешних DLL

Загрузка DLL происходит автоматически

DLL загружаются только один раз

Внешние адреса записываются в таблицу адресов импортов Import Address Table (IAT)

Каждой DLL соответствует структура

IMAGE_IMPORT_DESCRIPTOR

Дескриптор указывает на две структуры (списка)

Import Address Table (IAT) (заполняется загрузчиком)

Import Name Table (INT)

Символы могут быть загружены по имени или по порядковому номеру

Экспорт данных

Символы могут быть экспортированы по

именам (последовательность ASCII символов)

порядковому номеру

Экспортируемые функции могут быть использованы в других DLL

Адрес экспортируемых функций укахывает на имя в секции экспорта

typedef struct _IMAGE_EXPORT_DIRECTORY {

PUSHORT *AddressOfNameOrdinals;

} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

Экспорт данных

•••remainder of exports omitted

Ресурсы

Ресурсы в формате PE похожи на архивы

Имеют древовидную структуру

Структура данных весьма сложна, однако имеются программы, которые позволяют их анализировать

Наиболее распространённые виды ресурсов:

Иконки

Версия

Графические ресурсы

Интрументы для анализа PE формата

Dependency Walker

http://www.dependencywalker.com/

PEBrowse Professional

http://www.smidgeonsoft.prohosting.com/pebrowsepro-file- viewer.html

PEView

http://wjradburn.com/software/

PE Explorer

http://www.heaventools.com/

Resource Hacker tool

 http://www.angusj.com/resourcehacker/