IAT Rebuild

03/16/2011 22:57 Lazeboy#1
hi leute ich habe mich seit kurzem mit Dos Header, Pe header und IAT beschäftigt.
Da ich ziemlich wenig ahnugng davon hatte habe ich mich informiert und ein bisschen rumgespielt. Section auflisten oder alle funktion die Importiert wurden auflisten alles kein problem. So jetzt wollte ich mich an das Aramdillo begeben. Ich habe gedumped und die Section wieder hergestellt(wo ich glaube das ich das nicht richtig gemacht habe, aber ich kann diassemblen). Meine zwei Fragen sind nun...
Wie rebuild ich den IAT ?
Wie stelle ich die Sections richtig her ?
03/18/2011 19:08 Mr0x90#2
nimm dir importrec, lordpe und peid
03/18/2011 19:14 Lazeboy#3
mein problem ist einfach wenn der Iat funktioniert dann kann man sie auslesen wenn der Iat zerstört ist muss ich doch ja ka muss ich dan nne neue section erstellen und pointer zu jeder funktion darein schreiben oder wie ich hab irgendwie kein richtigen ansatz.
03/19/2011 09:11 wurstbrot123#4
Du solltest dir mal ein paar Anfängertutorials
zum Thema Reversing angucken wenn du wirklich
Intresse an sowas haben solltest.
03/19/2011 11:56 Lazeboy#5
Quote:
Originally Posted by wurstbrot123 View Post
Du solltest dir mal ein paar Anfängertutorials
zum Thema Reversing angucken wenn du wirklich
Intresse an sowas haben solltest.
Ach ehm vlr sollte ich dazu sagen das ich ein programm in c++ programieren möchte was den memory dump und dann fürn anfang die Sections wieder herstellt, also Virtual Size/offset ind Rawoffset und size kopieren damit ich diassemblen kann. Danach muss ich mich halt noch mit dem Iat beschäftigen


das ist zurzeit mein source:
Also hab vorher halt memory gemappt und dos und pe header geladen dann:
Code:
PIMAGE_SECTION_HEADER pCurrentsection = (PIMAGE_SECTION_HEADER)IMAGE_FIRST_SECTION(pNtheader);
for(int i = 0; i < dwSectioncount;i++)
	{
                      pCurrentsection[dwSectioncount].Name = "aaaa";
		pCurrentsection++;
	}
also in der schleife muss das doch geändert werden jetzt z.b oder ? also wenn ich nur aus test zwecken jeden namen der section auf aaaa setzen möchte muss ich das ändern und in ein neues file schreiben oder wie soll das aussehen ?


EDIT:
hat sich erledigt habs hinbekommen