为何PE格式中ILT与IAT需设置为独立表？

• 内存保护与节属性限制：ILT一般放在只读数据节（比如.rdata），PE加载器会按照节属性把这块内存标记为只读，防止意外修改。而IAT位于可写数据节（比如.data），允许加载器写入实际函数地址。如果直接修改ILT，就得把只读节改成可写，这不仅打破了内存保护的安全设计，还可能触发系统的内存页权限检查报错。

• 导入重绑定与DLL卸载后的恢复：当依赖的DLL被卸载后，IAT里的函数地址会变成无效值。如果后续需要重新绑定该DLL，ILT里保存的原始函数名称或序号就是唯一依据——加载器要靠这些信息重新查找函数的新地址。要是直接修改ILT，原始的查找信息就被覆盖了，程序再也没法完成重绑定，彻底失去恢复运行的可能。

• 延迟加载机制的依赖：延迟加载（Delay Load）允许程序在第一次调用导入函数时才去解析地址。这时候必须保留ILT里的原始导入信息，用来判断哪些函数还没被解析，以及解析时需要查找的目标。如果合并ILT和IAT，就没法区分“未解析”和“已解析”的状态，延迟加载的逻辑根本没法实现。

• 历史兼容性与职责分离：PE格式的设计有历史延续性，早期Windows加载器就采用了这种分离逻辑，后续版本为了兼容旧程序一直保留。而且这种设计让职责划分更清晰：ILT负责存储静态的导入元数据（编译时确定），IAT负责存储动态的运行时地址（加载时或运行时填充），加载器的实现逻辑也更简洁易懂。

内容的提问来源于stack exchange，提问作者e.biran