Reprenons... On va commencer par le 4e DWORD ce sera plus simple.

Le 4e DWORD d'une structure IMAGE_IMPORT_DESCRIPTOR pointe sur l'adresse du nom de la DLL.

et en 000048E8 on trouve bien :

Le 1er DWORD pointe sur une structure "ORIGINAL_FIRST_THUNK":

"ORIGINAL_FIRST_THUNK" est constituée elle-même de plusieurs DWORD qui repésentent des RVA pointant sur une structure IMAGE_IMPORT_BY_NAME. Cette dernière structure est l'endroit où est écrit le n°Ordinal + le nom d'une fonction appartenant à cette DLL.

Il y a une chose qui fait que cet IAT n'entre pas dans la norme. Enfin bien sûr que si, il suit bien une norme définit mais pas celle des petits programmes triviaux.

On a vu que les RVA qui constituent les membres de ORIGINAL_FIRST_THUNK et de FIRST_THUNK ne sont pas identiques alors que normalement ils devraient l'être.

Voici le principe de base :

Quand on exécute un programme, le Loader de Windows le mappe en mémoire. l'IAT comme tout le reste du programme est entièrement recopié et ce qui doit se passer en tant normal, c'est que pour chaque fonction, le Loader remplace les RVA FirstThunk par les vraies adresses où on peut trouver les fonctions.

Mais ici ce qui est fait, c'est que les RVA FirstThunk n'en sont plus, ce sont directement les adresses des fonctions comme on les auraient trouvés une fois le programme mappé. La raison c'est que cet exécutable a été lié grâce au petit programme Bind.exe. Lié ça veut dire que le programme Bind.exe a remplacé les FIRST THUNK par les adresses des fonctions, il a fait directement dans le fichier le travail que le Loader aurait normalement fait en mémoire. L'avantage c'est que puisqu'il a pu prévoir directement ces adresses, l'exécutable se lancera plus rapidement, c'est tout. Alors comment le Loader du système sait ou non qu'il a à faire à des RVAs ou à de vraies adresses ?
Et bien si TimeDateStamp est NULL c'est que les structures FIRST_THUNK contiennent des RVA. Sinon FIRST_THUNK sont des adresses et dans ce cas TimeDateStamp represente la date et l'heure de création de la DLL. Dans le programme lié, le membre TimeDateStamp de chaque structure IMAGE_IMPORT_DESCRIPTOR est alors comparé au TimeDateStamp unique de la DLL en question. Si ils sont semblables, c'est que les adresses contenus dans les FIRST_THUNK sont bien les adresses correctes des fonctions de cette DLL. Si les TimeDateStamp du programme et celui de la DLLs sont différents, ça signifie que la version de votre DLL n'est pas celle qui avait été utilisée au moment de linker votre programme (grâce à Bind.exe) et dans ce cas le Loader de Windows revient consulter les structures ORIGINAL_FIRST_THUNK pour retrouver des RVA et ensuite retrouver les bonnes adresses puis il écrase les anciennes adresses contenues dans les FIRST_THUNK par les bonnes qui sont d'actualité.
Le membre Forwarder de la structure IMAGE_IMPORT_DESCRIPTOR est un membre avancé qui est utilisé pour certains types particuliers de fonctions importées. Il est mis à -1 en temps normal sauf si la fonction exportée par la DLL provient en fait d'une autre DLL. Dans ce cas, la DLL sert un peu de relai entre le programme et une autre DLL qui possède en réalité cette fonction.