[MASM][Snippet] Importliste erstellen

[DizzY_D]

Moin,

da SC mal wieder down ist und mir langweilig ist, poste ich diesen Snippet, der auch in PolyObscure verwendet wird, auch hier mal.
Es handelt sich um eine Prozedur, die das IMAGE_IMPORT_DIRECORY parst und eine Liste mit Modulnamen, FirstThunk und API-Namen/Ordinal erstellt.
Sowas findet z.B. in Packern wie UPX und so gut wie jedem Protector verwendung, um die APIs zur Laufzeit zu laden.
Das ist nützlich, wenn man z.B. bestimmte APIs oder sogar die ganze Import Directory aus der PE löschen will.

Vielleicht kanns jemand gebrauchen, vielleicht auch nicht.
Feedback wäre trotzdem schön.

buildITlist    proc        ITRVA:DWORD,ITS:DWORD,buffer:DWORD
    LOCAL IToffset:DWORD
    LOCAL listptr:DWORD
    LOCAL liststart:DWORD
    LOCAL listsize:DWORD
    LOCAL modlen:DWORD
    LOCAL apilen:DWORD
    LOCAL ITbuff:DWORD
    LOCAL FT:DWORD
    
    invoke GlobalAlloc,GMEM_ZEROINIT,50000            ;Allocate memory for the list
    mov listptr,eax
    mov liststart,eax
    invoke rvatoroffset,ITRVA,buffer
    mov IToffset,eax
    mov edi,eax
    add edi,buffer
    mov ITbuff,edi
    
    assume edi:ptr IMAGE_IMPORT_DESCRIPTOR
    .while !([edi].OriginalFirstThunk==0 && [edi].TimeDateStamp==0 && [edi].ForwarderChain==0 && [edi].Name1==0 && [edi].FirstThunk==0)
        mov eax,[edi].Name1
        invoke rvatoroffset,eax,buffer
        add eax,buffer
        push eax
        invoke lstrlen,eax
        inc eax
        mov modlen,eax
        pop eax
        invoke lstrcpy,listptr,eax
        mov eax,listptr
        add eax,modlen
        mov listptr,eax
    add edi,sizeof IMAGE_IMPORT_DESCRIPTOR
    .endw
    inc listptr
    mov edi, listptr
    sub edi,liststart
    mov APIListstart,edi
    mov edi,ITbuff
    assume edi:ptr IMAGE_IMPORT_DESCRIPTOR
    .while !([edi].OriginalFirstThunk==0 && [edi].TimeDateStamp==0 && [edi].ForwarderChain==0 && [edi].Name1==0 && [edi].FirstThunk==0)
        mov esi,[edi].FirstThunk 
        mov FT,esi
        mov esi,[edi].OriginalFirstThunk
        invoke rvatoroffset,esi,buffer
        add eax,buffer
        mov esi,eax
        .while dword ptr [esi]!=0 
            test dword ptr [esi],IMAGE_ORDINAL_FLAG32
                   jnz ImportByOrdinal
                   invoke rvatoroffset,dword ptr[esi],buffer
                   add eax,buffer                            ;eax = Hint
                   add eax,2                                ;eax = APIName
                   push eax
                   invoke lstrlen,eax
                   inc eax
                   mov apilen,eax
                   inc listptr                                ;skip ImportByOrdinal Flag
                   mov ecx,FT
                   mov edx,listptr
                   mov dword ptr[edx],ecx                    ;Write FirstThunk
                   add edx,4
                   add listptr,4
                   pop eax
                   invoke lstrcpy,edx,eax
                   mov eax,apilen
                   add listptr,eax
                   jmp nextgo
ImportByOrdinal: 
            mov eax,listptr
            mov byte ptr[eax],1                        ;Set ImportByOrdinal Flag    
            inc listptr
            mov eax,listptr
            mov ecx,FT
            mov dword ptr[eax],ecx                    ;Write FirstThunk
            add eax,4
            mov ecx,dword ptr[esi]
            mov dword ptr[eax],ecx                    ;Write Ordinal
            add listptr,8
nextgo:
            add FT,4
            add esi,4
        .endw
    add edi,sizeof IMAGE_IMPORT_DESCRIPTOR
    add listptr,4
    .endw
    mov eax,listptr
    mov ecx,liststart
    sub eax,ecx
    mov listsize,eax
    mov ecx,eax
    mov eax,liststart
    Ret
buildITlist EndP