在win64上的pe中读取从kernel32.dll导入的函数

Question

我尝试在 win64 的 pe 中读取从 kernel32.dll 导入的函数。似乎零填充的 IMAGE_THUNK_DATA 是 IMAGE_THUNK_DATA 数组的结尾。但我发现在 kernel32.dll 的 IMAGE_THUNK_DATA 数组中，第二个 IMAGE_THUNK_DATA 填充为 0。这意味着只有一个从 kernel32 导入的函数？或者如何获取 IMAGE_THUNK_DATA 数组的大小？

Answer 1

An In-Depth Look into the Win32 Portable Executable File Format, Part 2:

每个 IMAGE_IMPORT_DESCRIPTOR 通常基本上指向两个 相同的数组。这些数组有好几个名字，但是 两个最常见的名称是导入地址表 (IAT) 和 导入名称表 (INT)。

...

两个数组都有 IMAGE_THUNK_DATA 类型的元素，这是一个 指针大小的联合。每个 IMAGE_THUNK_DATA 元素对应一个 从可执行文件中导入的函数。两个数组的末端是 由值为 0 的 IMAGE_THUNK_DATA 元素指示。