IAT表詳解

IAT的全稱是Import Address Table。

IAT表是執行程式或者dll為了實現動態載入和重定位函式地址，用到的一個匯入函式地址表。這裡面記錄了每個匯入函式的名字和所在的dll名稱，在pe載入的時候系統會載入這些dll到使用者的地址空間然後把函式地址覆蓋這個表裡的函式地址，然後重構所有用到這個表的程式碼，讓其呼叫直接指向實際函式地址（PE是否覆蓋不確定，驅動會這麼做），PE的IAT表會留在記憶體，驅動的就丟棄了。

對於每一個引入的可執行檔案（例如dll），有一個映象引入描述符(IMAGE_IMPORT_DESCRIPTOR)。
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
     union {
          DWORD Characteristics;         // 0 for terminating null import descriptor
          DWORD OriginalFirstThunk;   // RVA to original unbound IAT (PIMAGE_THUNK_DATA)
     };
     DWORD TimeDateStamp;           // 0 if not bound,
                                                                // -1 if bound, and real date\time stamp
                                                                // in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
                                                                // O.W. date/time stamp of DLL bound to (Old BIND)
      DWORD ForwarderChain;           // -1 if no forwarders
      DWORD Name;                             // RVA，指向字串，是這個可執行檔案的名字。例如"ACE.dll"
      DWORD FirstThunk;                     // RVA to IAT (if bound this IAT has actual addresses)
} IMAGE_IMPORT_DESCRIPTOR;

dll的forward不好講，因為很多都是undocumented的.

我們著重關心兩個指標，OriginalFirstThunk和FirstThunk。
Characteristics一詞出於歷史原因，故在此給它了一個別名，OriginalFirstThunk。
OriginalFirstThunk和FirstThunk是兩個DWORD值，存貯著兩個RVA數值，其實它們就是兩個指標。
OriginalFirstThunk和FirstThunk實際上都是指向同一個陣列。
前者，我們稱之為INT,而後者，我們稱之為IAT.

IAT是一個IMAGE_THUNK_DATA型別的陣列。有多少個函式被匯入，這個陣列就有多少個成員。該陣列以0結尾。
typedef struct _IMAGE_THUNK_DATA32 {
     union {
           DWORD ForwarderString;          // 一個RVA地址，指向forwarder string 
           DWORD Function;                       // PDWORD，被匯入的函式的入口地址
           DWORD Ordinal;                         // 該函式的序數
           DWORD AddressOfData;           // 一個RVA地址，指向IMAGE_IMPORT_BY_NAME
      } u1;
} IMAGE_THUNK_DATA32;

IMAGE_THUNK_DATA64與IMAGE_THUNK_DATA32的區別，僅僅是把DWORD換成了64位整數。

PIMAGE_IMPORT_BY_NAME是一個非常簡單的結構，就兩個成員。
typedef struct _IMAGE_IMPORT_BY_NAME {
     WORD Hint;            // 該函式的匯出序數
     BYTE Name[1];      // 該函式的名字
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

而IMAGE_THUNK_DATA32就是一個非常魔術般的東西了。
struct IMAGE_THUNK_DATA的大小，恰好等於一個指標的大小。(32bit機器下是32bit,64bit機器下是64bit)

每一個IMAGE_THUNK_DATA對應著一個被匯入的函式。
對於可執行檔案而言，IAT中的IMAGE_THUNK_DATA中儲存的要麼是Ordinal，要麼是AddressOfData。
怎麼判斷IMAGE_THUNK_DATA中儲存的是Ordinal 還是 AddressOfData 呢？
眾所周知，在32bit的機器上，地址空間是00000000-FFFFFFFF,
一般而言，其中00000000-7FFFFFFF是使用者空間，其它是系統空間。
於是，看IMAGE_THUNK_DATA的最高位，如果是1，就是Ordinal，否則就是AddressOfData。

但是這裡還存在一個2GB的問題。因為2GB的使用者地址空間對於很多程式不夠用，(主要是資料庫系統)，於是微軟就想了一些變通的辦法。例如win 2000的/3GB選項。
在啟動檔案,boot.ini中加上這個選項後，使用者空間變成3GB,系統空間減少到1GB。
然後呢？
然後在連結該可執行檔案的時候必須加上特殊的選項，這樣在PE頭就會有一個特殊的設定。
如果開了3GB選項，如果PE頭不加這個設定，那麼使用者空間是2GB,系統空間是1GB.
如果開了3GB選項，且PE頭加了這個設定，那麼使用者空間是3GB,系統空間是1GB.

而INT和IAT中儲存的本來應該是同樣的資料。
然後說繫結(binding).
當一個可執行檔案被繫結的時候，IAT中的IMAGE_THUNK_DATA被改寫為(被匯入的)該函式的實際地址。
這一步也許是交給連結器在連結的時候執行，也許是在該可執行檔案載入的時候執行。
但是，如果，該可執行檔案已經和dll繫結。但是這個dll後來又被更改了，這些被匯入的函式依然在該dll中存在，但是實際地址已經改變了。還有，我們保留過一個IAT的副本，它就是INT.（這就是為什麼我們稱之為Original FirstThunk).根據INT中的內容，我們可以重建IAT表。

綜上所述，將exe檔案繫結到dll的最佳時機，是在安裝可執行檔案的時候。這就是安裝程式，Windows installer,所要做的事情之一。

下面說，怎麼判斷IAT中的資訊是否已經過期。
首先，繫結分兩種型別，新式的和老式的。
前面已經說過IMAGE_IMPORT_DESCRIPTOR中的TimeDateStamp有三種可能性。
1.TimeDateStamp等於0 =〉 尚未繫結
2.TimeDateStamp等於-1 => 新式繫結
3.其它 => 老式繫結，這裡儲存的就是上次繫結是在什麼時間。

然後我詳細介紹下新式繫結
DataDirectory[ IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT ]指向一個重要的資料結構。
typedef struct _IMAGE_BOUND_IMPORT_DESCRIPTOR {
      DWORD TimeDateStamp;      // a DWORD that contains the time/date stamp of the imported DLL.
      WORD OffsetModuleName;    // a WORD that contains an offset to a string with the name of the imported DLL. 
                                                            // This field is an offset (not an RVA) from the first IMAGE_BOUND_IMPORT_DESCRIPTOR.
       WORD NumberOfModuleForwarderRefs;  // 這個結構體後面還有多少個IMAGE_BOUND_FORWARDER_REF 結構體
                                                                                   // Array of zero or more IMAGE_BOUND_FORWARDER_REF follows
} IMAGE_BOUND_IMPORT_DESCRIPTOR, *PIMAGE_BOUND_IMPORT_DESCRIPTOR;

來看看IMAGE_BOUND_FORWARDER_REF是一個什麼樣的結構體。
typedef struct _IMAGE_BOUND_FORWARDER_REF {
          DWORD TimeDateStamp;
          WORD OffsetModuleName;
         WORD Reserved;
} IMAGE_BOUND_FORWARDER_REF, *PIMAGE_BOUND_FORWARDER_REF;
和IMAGE_BOUND_IMPORT_DESCRIPTOR完全相同，除了最後一個位元組，它是被保留的。

然後說這兩個結構體的作用。

IMAGE_BOUND_IMPORT_DESCRIPTOR的作用很顯然。根據TimeDateStamp和OffsetModuleName欄位的值我們就可以判斷IAT表中的資訊是否已經過期。

但是存在這樣一種情況。一個dll導到另一個dll中。例如USER32.DLL和KERNEL32.DLL。

假如USER32.DLL未更改，但是KERNEL32.DLL更改過了。此時需要重建USER32.DLL的IAT。但是我們的程式只是直接用到了 USER32.DLL,於是匯入表中就沒有KERNEL32.DLL的IAT,也沒有KERNEL32.DLL的TimeDateStamp和 OffsetModuleName。
所以也就有, 如果一個dll forward了另一個dll,那麼在這個dll的IMAGE_BOUND_IMPORT_DESCRIPTOR結構體後面需要再插入被forward的 dll的IMAGE_BOUND_FORWARDER_REF結構體。之後才是下一個dll的 IMAGE_BOUND_IMPORT_DESCRIPTOR。

IMAGE_BOUND_IMPORT_DESCRIPTOR.NumberOfModuleForwarderRefs的意義就不言而喻了。

每個dll一個IAT表，一般而言，這些IAT表都是統一儲存在一起的。由於每個IAT表是以0結尾。所以很容易分離開來