идентификация функции в дизассемблированном коде

по адресу 00402000h лежит адрес той самой USER32!MessageBoxA - это ячейка в табличке адресов импорта (IAT) и заполняет эти значения загрузчик исходя из содержимого директории импортов.

можно конечно сразу было в программе писать call 7E3A07EAh (для WinXP SP3), но на каждой системе адрес функций будет(может) отличаться поэтому импорты и придумали.

а call 00401014 + jmp это переходник, который делает компилятор

почитайте это или на русском

//а чтобы было сразу видно что и почем возьмите нормальный дизассемблер или в отладчике гоняйте

Спасибо большое за ответ, но видимо я совсем деревянный :o
Смотрел через OllyDbg, но кое-что не понимаю, откуда она берет.
Чтобы лучше объяснить, приведу другой пример:

Код ассемблера:


После дизассемблирования через dumpbin.exe (использую эту программку, потому что мне нужен консольный вывод, чтобы парсить его своей программой):



Соответствия получаются
jmp dword ptr ds:[00402004h] -> MessageBoxA
jmp dword ptr ds:[00402000h] -> MessageBoxW

Как на основании 00402004 и 00402000 вычислять имя функции? Если заглянуть в .rdata, то увидим:


Если в импортируемые библиотеки:


Ни .rdata, не импортируемые функции не дают мне понять, что же такое 00402004 и 00402000. Куда мне тыкнуться с ними, чтобы увидеть на какие функции осуществляется переход?

Почитай про PE-формат и всё сразу станет понятно.Сам давно не занимался,поэтому ничего особо посоветовать не могу.Можно почитать Microsoft'овский оригинал

Да читал.. если бы сам понял, не стал бы спрашивать.
Вот и получается, то ли лыжи не едут, то ли я...

всё таки почитать по формату PE следовало бы.

по адресам 00402000h и 00402004h лежит RVA (Relative Virtual Address), который указывает на ASCIIZ-строку с двухбайтовым префиксом (hint) и содержит имя функции. но не всегда так будет, зависит от компилятора\линкера, все по разному импорты строят.

в данном случае:
по адресу 00402000h лежит DWORD - 0000204Eh - это RVA.
если теперь к нему прибавить 400000h (ImageBase) получим адрес 0040204Eh и теперь + 2 (отбросим hint) = 00402050 - указатель на строку MessageBoxW

Ramon
Вы это к чему написали? И, пожалуйста, если уже начали, то внятно закончите и выразите что хотели этим сказать.

всё дело в том, что ImportLookUp (OriginalFirstThunk) (IMAGE_IMPORT_DIRECTORY+00h) может указывать на ту же самую табличку что и AddresTableRva (FirstThunk) (IMAGE_IMPORT_DIRECTORY+10h) или может быть 0x00000000 (что является аналогом) -в таком случае берем имена функций из AddresTableRva (IAT)
(IMAGE_IMPORT_DIRECTORY в примере идет по адресу - 0040200Ch)

либо ImportLookUp может указывать на отдельную табличку и тогда уже из неё берутся имена\ординалы, но адреса кладутся всё также в AddresTableRva. часто в таком варианте IAT уже заполняется какими-нибудь адресами верными для системы на которой происходила компиляция, но в момент загрузки они конечно же перезаписываются

да, формат описан, но собирать файлы мы можем довольно вариабельно, часто до всяких извращений доходит

и еще, я не обратил внимания сначала в примере что выше был
Import Address Table (AddresTableRva) и Import Name Table (ImportLookUp) - это две разные таблички, но с одинаковыми данными - это 3 DWORD: 0000204E, 00002040, 00000000 так что тут и так и так можно рассматривать

и если допустим заменить 402034 Import Name Table на 0 Import Name Table то программка как работала так и будет работать потому что будет использована Import Address Table

Теперь всё понял :) Осталось только предусмотреть другие возможные варианты, знать бы только все возможные

написано уже, два по сути их варианта откуда брать имена функций. по умолчанию смотрим Import Name Table, а если он == 0 то берем из Import Address Table