Импортируемые функции

[Йоха]

У кого-нибудь есть идеи насчет того зачем близы импортируют функции из kernel32 и прочих системных библиотек через GetProcAddress, а не как обычно через секцию exe файла .idata.

И еще один вопрос, в самом экзешнике нет секции .idata, но ида ее показывает. Что-то я не пойму как это получается. Да и в любом случае приложению нужно импортировать как минимум Loadlibrary или GetModuleHandle и GetProcAdreess что бы хоть как-то начать работать.

[добавлено]

ага, Dependency Walker говорит что в файле используется механизм Delay-load dll. С этим понятно

Остался вопрос как все таки импортируются хотя бы минимально необходимые функции

[Deamon]

Ну вирусописатели начала 2000-х описывали разные техники. В том числе и такие, где не нужно было импортировать вообще ни одну функцию. Т.е. секция импорта просто отсутствовала как таковая. В таком случае использовался детект версии Виндовс и в зависимости от версии брался соответствующий адрес в памяти для GetProcAddress в kernel32.dll.

Microsoft в прежних версиях(а возможно и в текущих) Виндовс специально делала адреса по умолчанию для системных dll библиотек таким образом, чтобы те не пересекались. За счет этого dllки подружались в память быстрее, т.к. не было необходимости делать для них relocate.

Поэтому kernel32.dll грузился по одному и тому же адресу и при желании можно было обойтись вообще без таблицы импорта.

Но это так, для общего развития, вряд ли бы Близы стали использовать этот трюк.

[Йоха]

спасибо за ответ,
как ни странно разные програмки показывают наличие секции импорта. Однако мне удалось найти информацию только относительно секции .idata, которой у wow.exe нет.
Предположительно сейчас используется какой-то другой подход, возможно импорт находится в секции .rdata. У кого-нибудь есть информация или ссылки по поводу формата этой секции?

[Deamon]

Господин Total Commander говорит, что

DATA DIRECTORY (Virtual Address and Size)
	Export Directory  	rva: 00896A40h  	size: 00000069h
	Import Directory  	rva: 00893C64h  	size: 00000168h
	Resource Directory  	rva: 00C15000h  	size: 0004B590h
	Exception table  	rva: 00000000h  	size: 00000000h
	Security table  	rva: 009FAA00h  	size: 00001450h
	Base Relocation table  	rva: 00C61000h  	size: 000661B8h
	Debug Directory  	rva: 007880D0h  	size: 0000001Ch
	Architecture Specific Data  	rva: 00000000h  	size: 00000000h
	Global Pointer  	rva: 00000000h  	size: 00000000h
	TLS Directory  	rva: 0088EF20h  	size: 00000018h
	Load config table  	rva: 00000000h  	size: 00000000h
	Bound Import table  	rva: 00000000h  	size: 00000000h
	Import Address Table  	rva: 00786000h  	size: 00000884h
	Delay import descriptor  	rva: 00000000h  	size: 00000000h
	COM descriptor  	rva: 00000000h  	size: 00000000h
	unused        	rva: 00000000h  	size: 00000000h

Получается, что информация о смещении для секции импорта берется из таблиц Data Directories, а не из таблицы секций. Что там еще может находиться можно прочесть здесь: http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx