Cómo leer la tabla de funciones importadas de un archivo PE
Escrito en un lenguaje sencillo
OriginalFirstThunk/FirstThunk
Image_THUNK_DATA es una matriz DWORD de 0 terminales cuyo número de miembros es el mismo que el número de API llamadas
Cada El miembro es un RVA que apunta a IMAGE_IMPORT_BY_NAME, que se verifica si es miembro de IMAGE_IMPORT_BY_NAME. Obtenga el número de secuencia directamente del byte bajo del RVA extraído y luego la siguiente palabra doble IMAGE_THUNK_DATA
si no es 1. Se introduce a través del nombre de la función, IMAGE_IMPORT_BY_NAME tiene 2 miembros p>
El primero es el número de serie, WORD, 2 bytes
El otro es el nombre de la función, el tamaño no es fijo y el tipo de texto termina en 0
A través de mi explicación, ¿entiendes?