加壳后导入表失效是因为壳解密/解压原始pe时未填充iat，导致api调用访问非法地址而崩溃；oep无法跳转是因未完成iat修复、重定位、tls回调及堆栈参数准备等前置条件，直接跳转会执行错误指令或触发异常。
加壳后为什么导入表失效、OEP 无法跳转
加壳程序在内存中解密/解压原始 PE 后，若不手动修复导入表（IAT），LoadLibrary 和 GetProcAddress 返回的函数地址不会被填入原始 PE 的 IAT 数组，导致调用如 MessageBoxA、WriteFile 等 API 时访问非法地址而崩溃。同时，OEP 是原始程序逻辑起点，壳代码必须在完成 IAT 修复后，用 jmp [original_OEP] 或 call [original_OEP] 跳转，否则执行流会落在壳的末尾或未初始化内存上。
怎么用 Windows API 手动遍历并修复导入表
不能依赖编译器生成的导入数据——加壳后原始 PE 的 .idata 或 .rdata 区段通常被加密或重定位，需从内存中解析 IMAGE_IMPORT_DESCRIPTOR 数组。关键步骤如下：
- 从原始 PE 的可选头中读取
DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress，得到导入描述符数组 RVA - 循环遍历每个
IMAGE_IMPORT_DESCRIPTOR，直到Name字段为 0；对每个 DLL，先调用LoadLibraryA获取模块基址 - 遍历其
FirstThunk（IAT）和OriginalFirstThunk（INT），用GetProcAddress填充 IAT 中每个函数指针（注意：INT 可能为空，此时以 IAT 为唯一依据） - 所有 IAT 条目必须是真实函数地址，不能留 0 或占位值，否则原始代码调用时触发
ACCESS_VIOLATION
示例关键片段（假设 pNtHeader 指向已映射的原始 PE 内存首地址）：
auto pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)(
(BYTE*)pNtHeader +
pNtHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress
);
for (; pImportDesc->Name; pImportDesc++) {
char* dllName = (char*)((BYTE*)pNtHeader + pImportDesc->Name);
HMODULE hMod = LoadLibraryA(dllName);
if (!hMod) continue;
DWORD* pThunk = (DWORD*)((BYTE*)pNtHeader + pImportDesc->FirstThunk);
WORD* pOrigThunk = pImportDesc->OriginalFirstThunk ?
(WORD*)((BYTE*)pNtHeader + pImportDesc->OriginalFirstThunk) : pThunk;
for (int i = 0; pOrigThunk[i]; i++) {
DWORD funcRVA = pOrigThunk[i] & 0x7FFFFFFF; // 去掉高位标志
char* procName = (char*)((BYTE*)pNtHeader + funcRVA + 2); // +2 跳过 ord flag
FARPROC proc = GetProcAddress(hMod, procName);
pThunk[i] = (DWORD)proc;
}
}
OEP 跳转前必须确认哪些状态
OEP 不是随便算个地址就能跳——它依赖于原始 PE 的节区映射、重定位修正、TLS 回调执行、以及堆栈环境。常见翻车点：
-
IMAGE_OPTIONAL_HEADER.ImageBase与实际加载基址不一致时，必须先做重定位（遍历IMAGE_DIRECTORY_ENTRY_BASERELOC并修正含IMAGE_REL_BASED_HIGHLOW的字段） - 原始 PE 含 TLS（Thread Local Storage），则需调用
LdrProcessRelocationBlock或手动执行 TLS 回调函数（IMAGE_TLS_DIRECTORY中的AddressOfCallBacks） - 跳转前堆栈应模拟正常进程启动状态：ESP 应指向有效栈空间，且栈顶放好
hInstance、hPrevInstance、lpCmdLine、nShowCmd四个参数（对 Win32 GUI 程序尤其关键） - 直接
jmp到 OEP RVA 可能失败——需转换为 VA：jmp *(BYTE*)pNtHeader + pNtHeader->OptionalHeader.AddressOfEntryPoint
为什么用 VirtualProtect 修改 IAT 前常出错
IAT 所在内存页默认是只读（PAGE_READONLY），直接写会触发 EXCEPTION_ACCESS_VIOLATION。但仅调用 VirtualProtect 改为 PAGE_READWRITE 还不够：
- 必须传入 IAT 所在页的起始地址（对齐到
GetSystemInfo().dwAllocationGranularity），而非 IAT 表头地址 - 修改后若未恢复原始保护属性（如设回
PAGE_READONLY），可能被 EDR/AV 视为可疑行为而拦截 - 多线程环境下，其他线程可能正在读 IAT，需确保写操作原子性（一般加壳阶段单线程，但不可忽略）
- 部分加壳工具将 IAT 拆散或加密存储，此时靠遍历
IMAGE_IMPORT_DESCRIPTOR会漏项，必须结合壳自身的 IAT 解密逻辑
修复导入表和跳转 OEP 不是线性流程——IAT 填错一个地址，OEP 处第一行调用就崩；重定位没做全，OEP 跳过去执行的是错乱指令。最易被忽略的是 TLS 和堆栈参数准备，这两项在多数公开壳样本中都有显式处理，但 DIY 加壳时常常被跳过。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
