Как узнать, когда заканчивается массив IMAGE_THUNK_DATA?

Question

Массив IMAGE_IMPORT_DESCRIPTOR завершается, когда структура IMAGE_IMPORT_DESCRIPTOR заполнена всеми нулями.

Каждая структура IMAGE_IMPORT_DESCRIPTOR имеет 2 члена, OriginalFirstThunk и FirstThunk, которые содержат RVA для параллельных массивов IMAGE_THUNK_DATA.

Завершается ли массив IMAGE_THUNK_DATA с помощью структуры IMAGE_THUNK_DATA, заполненной нулями в конце?

Answer 1

Этот Matt Pietrek article имеет необходимую вам информацию:

Каждый IMAGE_IMPORT_DESCRIPTOR обычно указывает на два по существу идентичных массивов. Эти массивы были вызваны несколькими именами, но двумя наиболее распространенными именами являются таблица адресов импорта (IAT) и таблица имен импорта (INT) . На рисунке 6 показан исполняемый файл, импортирующий некоторые API из USER32.DLL.

Оба массива имеют элементы типа IMAGE_THUNK_DATA, который представляет собой соединение размером указателя размером . Каждый элемент IMAGE_THUNK_DATA соответствует одной импортированной функции из исполняемого файла. Концы обоих массивов - это , обозначенные элементом IMAGE_THUNK_DATA со значением 0.