能力值：
( LV13，RANK：410 )
|
-
-
2 楼
可能是搜索所有的call [Iat]
|
能力值：
( LV12，RANK：250 )
|
-
-
3 楼
最初由 Isaiah 发布
可能是搜索所有的call [Iat]
但是我自己在代码处添加了这样的call [xxx]也欺骗不了ImportREC,在还没修复IAT前程序中调用API的代码都是call [xxx]，但是自己伪装个call [xxx]结果ImportREC确没给修改!!!
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
要什么时候偶才能学来像你们呢？
|
能力值：
(RANK：350 )
|
-
-
5 楼
OriginalFirstThunk和FirstThunk只要一个有效就行，ImportREC修复FirstThunk，并不需要改程序本身的调用代码
|
能力值：
( LV4，RANK：50 )
|
-
-
6 楼
楼主去看PE结构
|
能力值：
( LV12，RANK：250 )
|
-
-
7 楼
最初由 kanxue 发布
OriginalFirstThunk和FirstThunk只要一个有效就行，ImportREC修复FirstThunk，并不需要改程序本身的调用代码
ImportREC确实是修复FirstThunk(指向IAT)但是原始程序中的IAT被ImportREC改掉了，IAT地址一改，程序中调用的代码都必需改。
|
能力值：
( LV9，RANK：3410 )
|
-
-
8 楼
ImportREC可以Create New IAT
你去掉这个选项就不改了
|
能力值：
( LV12，RANK：250 )
|
-
-
9 楼
最初由 fly 发布
ImportREC可以Create New IAT
你去掉这个选项就不改了
谢谢fly的指点，但是我想了解的是ImportREC创建新的IAT后，如何搜索程序代码空间中的API调用，并将其指向新的IAT地址，其如二楼所说搜索所有call [xxx]，但是自己构建了这样的call [xxx]，却没有达到欺骗ImportREC的目的
|
能力值：
(RANK：350 )
|
-
-
10 楼
最初由 kangaroo 发布
ImportREC确实是修复FirstThunk(指向IAT)但是原始程序中的IAT被ImportREC改掉了，IAT地址一改，程序中调用的代码都必需改。
开始理解错了，你是对的。
ImportREC 的实现方法，看看其早期版本的源码有没有：
4a2K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4m8W2k6r3W2&6i4K6u0W2j5$3!0E0i4K6u0r3N6r3!0G2L8s2y4Q4x3V1k6b7c8g2)9#2k6Y4c8G2L8$3I4K6i4K6u0r3f1X3g2T1N6h3W2D9k6r3g2J5i4K6u0r3d9h3#2H3L8%4u0@1i4K6t1#2x3U0m8d9c8f1y4Q4x3V1k6u0L8i4m8d9c8f1y4Q4y4h3k6D9K9i4c8W2i4K6g2X3N6U0p5I4i4K6u0W2P5X3W2H3
|
能力值：
( LV12，RANK：250 )
|
-
-
11 楼
最初由 kanxue 发布
开始理解错了，你是对的。
ImportREC 的实现方法，看看其早期版本的源码有没有：
5bbK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4m8W2k6r3W2&6i4K6u0W2j5$3!0E0i4K6u0r3N6r3!0G2L8s2y4Q4x3V1k6b7c8g2)9#2k6Y4c8G2L8$3I4K6i4K6u0r3f1X3g2T1N6h3W2D9k6r3g2J5i4K6u0r3d9h3#2H3L8%4u0@1i4K6t1#2x3U0m8d9c8f1y4Q4x3V1k6u0L8i4m8d9c8f1y4Q4y4h3k6D9K9i4c8W2i4K6g2X3N6U0p5I4i4K6u0W2P5X3W2H3
嘿嘿，谢谢老大提供源码!!!
|
能力值：
( LV12，RANK：250 )
|
-
-
12 楼
郁闷的要死，vb编译的程序被bound Import总觉的我按照ImportREC方法修复输入表，一直不行(即OriginalFirstThunk清零)让FirstThunk指向IAT，汗!!!花了我一个中午时间!!!郁闷ing....
|
能力值：
( LV12，RANK：250 )
|
-
-
13 楼
最初由 kanxue 发布
OriginalFirstThunk和FirstThunk只要一个有效就行，ImportREC修复FirstThunk，并不需要改程序本身的调用代码
一定不要被Bound Import不然的话系统动态库版本号和编译时一样，程序就不重新加载IAT了。IAT中的数据即为指向的函数名RVA偏移!!!
我说的是手动修复，嘿嘿，当然ImportREC会自动将数据目录的Bound Import清零，就不必当心了!!!
|
|
|
|
