📠 Secure

INT / IAT

INT / IAT ( Import 관련 Table )

라이브러리 / DLL 파일 SYS 파일
애플리케이션이 실행할 때
DOS 시절에 관련 라이브러리도 전부 포함해서 코딩

함수를 불러오는 식으로 라이브러리를 만들자

kernel32.dll 라는 라이브러리 안에 여러개의 함수들
Import Name Table > DLL 이름을 찾고
Import Application Table > 함수를 찾는다

MAGE_IMPORT_DESCRIPTOR {
    union {
        DWORD   Characteristics;            
        DWORD   OriginalFirstThunk;       // INT(Import Name Table) address (RVA)
    };
    DWORD   TimeDateStamp;
    DWORD   ForwarderChain;
    DWORD   Name;                         // library name string address (RVA)
    DWORD   FirstThunk;                   // IAT(Import Address Table) address (RVA)
} IMAGE_IMPORT_DESCRIPTOR;

1. NAME의 위치를 따라가서 라이브러리(DLL)의 이름을 파악한다
2. OriginalFirstThunk(INT)의 주소를 따라가서 함수 시작 주소를 파악한다
3. FirstThunk(IAT)의 주소를 따라가서 실제 로딩 주소를 파악한다.

comdlg32.dll 중 PageSetupDlgW 함수 호출

6D90 > 6D90-1000+400 : 6E7A : PageSetupDlgW

라이브러리 확인

7AAC > 7AAC-1000+400 = 6EAC : comdlg32.dll

IAT 실제 로딩 주소 파악

EAT

EAT와 IAT의 차이점

IAT는 Import이므로 여러개의 라이브러리를 가져옴

EAT는 보내는 역할만 하기 때문에 단 한개만 존재

이 라이브러리 안에 다수의 함수 존재

그 함수별로 배열(Oridnal,서수)이 존재

typedef struct _IMAGE_EXPORT_DIRECTORY {

DWORD Characteristics
DWORD TimeDateStamp
WORD MajorVersion
WORD MinorVersion
DWORD Name // kernel32.dll
DWORD Base
DWORD NumberOfFunctions // kernel32.dll의 함수 개수 03B9
DWORD NumberOfNames // kernel32.dll의 이름을 가진 함수 개수 03B9

DWORD AddressOfFunctions // 함수 주소 배열(EAT) RVA 2654 > RAW 1A54
DWORD AddressOfNames //함수명 배열 RVA 3538 > RAW 2938
DWORD AddressOfNameOrdinals // 함수 서수 배열 RVA 441C > RAW 381C

} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY