手写NASM汇编PE格式程序导入表失效无法运行求助

问题描述 #

我编写的64位NASM汇编PE格式.EXE程序，本该在CMD中输出"owwwmagawd"，但实际运行后程序挂起无任何输出。经排查发现：

• 我添加了检测代码，若IAT中的导入项为0则进入无限循环；移除该循环后程序会立即退出，说明导入项确实为0。
• 可选头中AddressOfEntryPoint字段设为0x2002，程序应从0x2000处的无限循环（wat: jmp wat）之后的代码开始执行，若导入正常则不会进入无限循环，但目前导入仍失效。

尝试多种方法后仍未解决，请问程序存在什么问题？

可能的问题点及排查方向 #

1. 导入表结构不符合PE规范 #

64位PE的IMAGE_IMPORT_DESCRIPTOR（导入描述符）必须严格遵循格式要求：

• 每个导入描述符的OriginalFirstThunk和FirstThunk字段需指向正确的IMAGE_THUNK_DATA64数组，数组末尾必须以全0的IMAGE_THUNK_DATA64项终止。若数组未正确终止，Windows加载器可能无法识别完整的导入项，导致IAT不填充。
• 确认TimeDateStamp和ForwarderChain字段：64位PE中这两个字段默认需设为0（除非有转发导入需求），错误取值会干扰加载器处理流程。

2. 基址重定位缺失或错误 #

64位PE默认标记为IMAGE_FILE_RELOCS_STRIPPED（无重定位信息）：

• 若程序的ImageBase（可选头中声明的基址）与加载器实际分配的基址不匹配，且无重定位表，会导致导入表的指针地址失效，加载器无法定位到正确的导入项位置，进而不填充IAT。
• 检查可选头中的ImageBase是否为64位PE默认的0x140000000；若自定义基址，需确保加载器能分配到该地址，或添加完整的重定位表。

3. 导入表所在节的属性或范围错误 #

• 包含导入表的节必须设置为IMAGE_SCN_CNT_INITIALIZED_DATA（初始化数据）属性，不能标记为可执行或未初始化数据，否则加载器可能忽略该节的导入表。
• 验证节表中该节的VirtualAddress和SizeOfRawData，确保导入表完全落在节的内存范围内，无越界情况。

4. 段对齐与地址计算错误 #

64位PE的SectionAlignment（节对齐）和FileAlignment（文件对齐）需符合规范（通常节对齐为0x1000，文件对齐为0x200）：

• 检查NASM脚本中section指令的align参数，确保与可选头中的对齐值一致。
• 确认导入表的VirtualAddress是节对齐的倍数，避免加载器加载后导入表的实际内存地址与PE头声明地址不符。

5. 导入函数或模块名错误 #

• 若导入的模块名（如kernel32.dll）拼写错误，或函数名（如WriteConsoleA）与Windows导出的名称不符（64位导出函数名通常无修饰，且区分大小写），加载器无法找到对应函数，会将IAT项设为0。
• 用PE分析工具（如PEview）查看导入表中的模块名和函数名，对比对应DLL的导出表确认正确性。

内容的提问来源于stack exchange，提问作者Kun Xiang