IAT修复有啥坑？血泪教训，看完少走弯路！
大家好呀,今天咱们来聊聊一个让无数逆向小白和游戏修改爱好者头疼的话题——IAT修复有啥坑，说真的，这玩意儿我一开始接触的时候，那叫一个自信满满，觉得不就是改改导入表嘛，能有多难？结果呢？被坑得那叫一个惨不忍睹，差点把键盘都砸了，所以今天我就把自己踩过的那些坑，一个个给你抖落出来，希望你别再重蹈我的覆辙。
第一个坑：以为IAT就是一张普通的表，随便填填就行
我刚开始学的时候,心想：IAT嘛，不就是Import Address Table，导入地址表，记录着程序要用哪些DLL、哪些函数嘛，那我直接找个工具，把地址一填，不就完事了？结果呢？程序直接崩给你看，连个报错都不给，就静静地躺在那儿，跟死鱼一样。
后来才知道,IAT这玩意儿跟PE结构里的其他东西是环环相扣的，你光填个地址，那OriginalFirstThunk呢？那个指向INT（Import Name Table）的指针你不管了？还有，你填的地址得是有效的吧？你填个0x00000000进去，系统加载器不傻眼才怪，我当时就犯了这个低级错误，以为随便填个看起来像地址的数字就行，结果系统加载的时候直接访问违规，崩溃得那叫一个干脆。
第二个坑：忽略了绑定导入和延迟导入
哎,这个坑就更隐蔽了，有些程序用了绑定导入（Bound Import），什么意思呢？就是PE文件里直接存了DLL加载后的预期地址，你如果把这部分忽略了，系统加载的时候发现实际地址跟绑定的不一样，它倒是会帮你修正，但如果你自己手动改过IAT，那就乱套了，我有一次修复一个加壳的程序，壳脱了之后IAT是乱的，我吭哧吭哧手动重建，结果程序跑起来一会儿正常一会儿崩溃，折腾了一整天才发现是绑定导入在作祟。
还有延迟导入（Delay Import），这玩意儿更坑，有些函数不是一开始就加载的，等你第一次调用的时候才去加载DLL，你要是修复的时候没考虑到这个，只处理了标准的IAT，那程序一调用那些延迟导入的函数，直接GG，我当时就纳闷：明明IAT看着都修好了啊，怎么一按某个按钮就闪退？后来用调试器跟进去一看，哦豁，延迟导入的地址是空的，不服不行。
第三个坑：重定位和IAT搅在一起，傻傻分不清
这个坑我觉得是最容易让人崩溃的,你脱壳的时候，壳可能会把IAT加密或者重定向，你修复的时候得先把重定位表处理好，重定位表里有些条目是跟IAT相关的，你改IAT的时候如果不小心动了重定位的基址，那整个程序的地址空间就全乱了，我遇到过最恶心的情况是：程序在XP上跑得好好的，一到Win10就崩，为啥？因为ASLR（地址空间布局随机化）啊！你修复的IAT是基于固定基址的，系统一随机化，你那些硬编码的地址全废了，这时候你得用IMAGE_DIRECTORY_ENTRY_IAT目录项来定位，而不是傻乎乎地手动算，说多了都是泪。
第四个坑：工具用不对，越修越烂
网上工具一大堆,什么ImportREC、Scylla、PE Tools……我一开始图省事，直接拿ImportREC自动搜索IAT，然后一键修复，嘿，你猜怎么着？修出来的程序能跑，但是功能不全，有些函数调用直接跳到莫名其妙的地方，后来我才知道，自动搜索有时候会把非IAT的数据当成IAT来解析，比如把一些常量或者字符串地址误认为是函数指针，结果就是修出来的导入表里混进了一堆垃圾条目，程序不崩才怪，所以啊，工具是辅助，关键还得自己懂原理，该手动确认的地方千万别偷懒。
第五个坑：忘了处理转发函数和序号导入
有些DLL里的函数不是直接实现的,而是转发到另一个DLL里的，比如kernel32.dll里的HeapAlloc可能转发到ntdll.dll，你修复IAT的时候如果只看了函数名，没注意它是个转发函数，那填进去的地址就是错的，还有序号导入（Import by Ordinal），有些程序不用函数名，直接用序号来导入，你修复的时候如果只看名字，那序号对应的函数你可能根本找不到，我就吃过这个亏，修完的程序一调用某个序号导入的函数，直接跑飞，查了半天才发现是序号没对上。
那到底怎么避坑呢？
说了这么多坑,那到底咋整？我总结了几条血泪经验：
- 别偷懒，老老实实分析PE结构，把
IMAGE_IMPORT_DESCRIPTOR、IMAGE_THUNK_DATA、IMAGE_IMPORT_BY_NAME这些结构搞清楚，比啥都强。 - 用调试器动态验证，修完IAT别急着跑，用x64dbg或者OllyDbg跟一下，看看每个导入函数调用的时候是不是跳到了正确的地址。
- 注意绑定导入和延迟导入，用
CFF Explorer或者PE-bear看看有没有这些目录，有的话单独处理。 - 重定位表要同步检查，特别是开了ASLR的程序，确保你的修复不依赖于固定基址。
- 工具只是辅助，手动确认不能少，自动搜索出来的IAT一定要人工过一遍，把明显不对的条目删掉。
好了,关于IAT修复有啥坑，今天就先唠到这儿，说实话，这玩意儿坑虽多，但只要你耐心点、细心点，一个个填过去，最后程序跑起来的那一刻，那成就感是真的爽，如果你也在修IAT的时候遇到过什么奇葩问题，欢迎在评论区吐槽，咱们一起避坑！别忘了把这篇文章分享给同样在逆向路上挣扎的朋友，让他们也少走点弯路，咱们下期再见啦，拜拜！