Glossar
Importtabelle und IAT
Die PE-Strukturen mit den benötigten DLL-Funktionen; der Loader löst sie auf und schreibt ihre Adressen in die Import Address Table (IAT).
Das Importverzeichnis enthält einen Deskriptor pro DLL, der jeweils auf eine Liste von Funktionen verweist, die per Name (mit Hint) oder per Ordinal importiert werden. Beim Laden des Programms löst Windows jede Funktion auf und schreibt ihre Adresse in die Import Address Table (IAT), über die der Code sie aufruft.
Importe liefern einen schnellen Überblick über die Fähigkeiten: Netzwerk, Prozessinjektion, Registry, Kryptografie. Delay-Load-Importe werden stattdessen beim ersten Aufruf aufgelöst, und gepackte Programme importieren sehr wenig und lösen den Rest zur Laufzeit auf. Die geordnete Importliste ist die Grundlage des Imphash.