雷火电竞官网-中国知名电竞赛事平台

　　Import REConstructor 可以從雜亂的IAT中重建一個新的Import表（例如加殼軟件等），它可以重建Import表的描述符、IAT和所有的ASCII函數名。

　　用它配合手動脫殼，可以脫UPX、CDilla1、PECompact、PKLite32、Shrinker、ASPack, ASProtect等殼。

　　在運行Import REConstructor之前，必須滿足如下條件：

　　1） 目標文件己完全被Dump到另一文件；

　　2） 目標文件必須正在運行中；

　　3） 事先要找到真正的入口點（OEP）；

　　4） 最好加載IceDump，這樣建立的輸入表較少存在跨平臺的問題。

【使用方法】

　　1.目標文件已完全被Dump，另存為一個文件

　　2.目標文件必須正在運行中

　　3.事先找到目標程序真正的入口(OEP)或IAT的偏移與大小

　　以加殼RebPE.exe為例，首先OD加載：

　　調試到00413001，設置硬件斷點hr esp

　　F9斷下來，單步調到OEP處：

　　這時啟用Loadpe工具，找到對應的進程，右鍵先執行"correct ImageSize”，再執行"dump full",保存為dumped.exe

　　運行ImportREC，選擇RebPE.exe進程：

　　在右下角OEP處埴上正確的OEP的RVA值，這里填1130，默認時，ImportREC重建輸入表時會同時用此值修正入口點，同時提供正確的OEP有助于分析IAT的準確位置，單擊"IAT AutoSearch"按鈕，讓其自動檢測IAT偏移和大小，如果出現：

　　表示輸入的OEP發揮了作用，如果沒有，則要手動填入IAT的RVA和大小,

　　單擊"Get Imports"按鈕，讓其分析IAT結構得到基本信息，如下：

　　本例中所有API都被正確識別了，顯示valid：YES，如果不能識別，就會顯示成valid：NO,單擊"Show Invalid"按鈕分析所有的無效信息，

　　在Imported Functions Found這一窗口中單擊右鍵，選擇Thrace Level1(Disasm)，再單擊"Show Invalid

　　最后一步，把前面提出的IAT部分都加上Dump.exe，選擇"Add new section"，單擊Fix Dump，選擇剛抓取的Dump.exe，此時會生成一個叫Dump_exe的文件，而輸入表會放在新增的.mackt區塊上，此時IAT修復完成