Import Table Rekonstruieren

Import Table Rekonstruieren (3 Beiträge, 112 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Ich weiß, ist 'n eher esotherisches Thema und ich erwarte nicht dass es viele gibt die darauf 'ne Antwort wissen, aber die Hoffnung stirbt ja bekanntlich zuletzt...

Ich muß für einen Entschlüsseler für einen Laufzeitpacker den originalen Importable eines PE-Files rekonstruieren. Natürlich lädt der Runtimepacker die originär verwendeten Importe nicht über den Table sondern erstellt zur Laufzeit seinen eigenen über LoadLibrary und GetProcessAdress.

Kennt jemand 'ne brauchbare Seite, auf der der Import Table hinreichend gut erklärt und der Aufbau beschrieben wird? Bisher hab ich jedenfalls nix gefunden, das mir den Unterschied zwischen FirstThunk und OriginalFirstThunk bzw. die Bedeutung der Forwarderchain sinnvoll erklärt.

Ich nehm auch gern Verweise auf 'n Forum das sich mit solchen abgehobenen Themen beschäftigt oder 'ne PE-Doku die etwas mehr bietet als die von MS.

Merci.

________________________________________________________________________
There's a typo in the Bible.
It should read "The geek shall inherit the earth".

Re: Import Table Rekonstruieren (kombipaket am 08.10.2009, 14:47:42)

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung