The Art of Reversing by Ap0x - Tutoriali.org

PE ExE files - Tables
Posto smo objasnili osnovne stvari vezane za PE strukturu vreme je da
analiziramo import/export tabele. Pre nego sto pocnemo moramo da
razjasnimo sta su to import tabele.
Ako ste se do sada bavili programiranjem u bilo kom programskom
jeziku sigurno ste culi za API. Ako niste, API predstavlja spisak funkcija koje
se nalaze u standardnim Windows dll fajlovima kao sto su kernel32.dll,
user32.dll i slicni. Svaki exe fajl sadrzi import tabelu koja predstavlja
referencu ka funkcijama koje se nalaze u ovim windows dll fajlovima ali i
drugim specificnim dll fajlovima koji se mogu isporucivati uz program. Da
biste videli koje tabele postoje u jednom exe fajlu u LordPEu izaberite opciju
Directories sto ce vam prikazati sledece:
Kao sto se vidi sa slike svaki PE fajl moze imati vise tablica. Od svih ovih
opcija za reversing su nam interesantna samo cetiri polja, polje ExportTable,
ImportTable, IAT i Resource.
ExportTable - predstavlja tablicu funkcija koju jedan dll fajl “izvozi”. Ovo
znaci da standardni exe fajlovi mogu pozivati .dll fajl, to jest specificne
funkcije u njemu koje ce odraditi neki posao umesto samog exe fajla. Ovo
znaci da ako analiziramo neki windowsov dll fajl funkcije koje se nalaze u
njemu ce biti smestene u ExportTable, dok ce se u .exe fajlu koji ih poziva
biti smestene u ImportTable.
The Art of Reversing by Ap0x Page 191 of 293