导出表结构
typedef struct _IMAGE_EXPORT_DIRECTORY {
DWORD Characteristics;//未使用,总是定义为0
DWORD TimeDateStamp;//文件生成时间
WORD MajorVersion;//未使用,总是定义为0
WORD MinorVersion;//未使用,总是定义为0
DWORD Name;//模块的真实名称的RVA
DWORD Base;//基数,加上序数就是函数地址数组的索引值
DWORD NumberOfFunctions;//导出函数的总数
DWORD NumberOfNames;//以名称方式导出的函数的总数
DWORD AddressOfFunctions;// 指向输出函数地址的RVA
DWORD AddressOfNames;// 指向输出函数名字的RVA
DWORD AddressOfNameOrdinals; //指向输出函数序号的RVA
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;
NumberOfNames:被定义函数名称的导出函数的总数,显然只有这个数量的函数既可以用函数名方式导出。也可以用序号方式导出,剩下 的NumberOfFunctions 减去NumberOfNames 数量的函数只能用序号方式导出。该字段的值只会小于或者等于 NumberOfFunctions 字段的值,如果这个值是0,表示所有的函数都是以序号方式导出的。
Base:导出函数序号的起始值,将AddressOfFunctions 字段指向的入口地址表的索引号(从0开始)加上这个起始值就是对应函数的导出 序号。假如Base 字段的值为x,那么入口地址表指定的第1个导出函数的序号就是x;第2个导出函数的序号就是x+1。总之,一个导出函数的导出序号等 于Base 字段的值加上其在入口地址表中的位置索引值。
遍历导出表的流程:AddressOfFunctions(确定入口地址表的索引号)->根据索引号遍历函数序号表(函数序号表的数量小于NumberOfNames,如果遍历不到说明函数是序号导出,导出序号为Base 字段的值加上其在入口地址表中的位置索引值)->根据遍历的函数序号表索引号定位函数名字号表索引号(它们一样),找到函数名.
-
导出表遍历的部分API核心代码
BOOL Add_EXPORT_list_Items(HWND hListProcess,HWND hDlg)
{
LVITEM lvI;ZeroMemory(&lvI,sizeof(lvI));
DWORD index=0;
char string[32]; ZeroMemory(string,32);
//有效的项
lvI.mask=LVIF_TEXT;
TCHAR Buff[16];ZeroMemory(Buff,sizeof(16));
//定位导出表FOA的位置
IMAGE_EXPORT_DIRECTORY* pExportTable = (IMAGE_EXPORT_DIRECTORY*)
((DWORD)lpMemory + RVAToFOA(lpMemory, pOptionHeader->DataDirectory[0].VirtualAddress));
SetDlgItemText(hDlg,IDC_EDIT_DLLNAME,(char*)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->Name)));
wsprintf ( string, "%08lX", pExportTable->Base);
SetDlgItemText(hDlg,IDC_EDIT_Export_Base,string);
wsprintf ( string, "%08lX", pExportTable->NumberOfFunctions);
SetDlgItemText(hDlg,IDC_EDIT_Export_NumberOfFunctions,string);
wsprintf ( string, "%08lX", pExportTable->AddressOfFunctions);
SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfFunctions,string);
wsprintf ( string, "%08lX", pExportTable->AddressOfNames);
SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfNames,string);
wsprintf ( string, "%08lX", pExportTable->AddressOfNameOrdinals);
SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfNameOrdinals,string);
int Num=pExportTable->NumberOfNames;
DWORD NumberOfFun=pExportTable->NumberOfFunctions;
DWORD NumberOfName=pExportTable->AddressOfNames;
//取出三个表的FOA函数地址
//函数地址
PDWORD pFunAddr=(PDWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfFunctions));
//函数名地址
PDWORD pFunNameAddr=(PDWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfNames));
//函数序号地址
PWORD pOrdinalAddr=(PWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfNameOrdinals));
for (DWORD i=0;i<NumberOfFun;i++)
{
//如果是无效函数 进行下一次
if (!pFunAddr[i])
{
continue;
}
//此时为有效函数 在序号表查找是否有这个序号 用以判断是函数名导出函数序号导出
DWORD j=0;
for (;j<NumberOfName;j++)
{
if (i==pOrdinalAddr[j])
{
break;
}
}
//找到了 这是一个函数名导出的函数
if (j!=NumberOfName)
{
lvI.iItem=index;
lvI.iSubItem=0;
ZeroMemory(string,32);
wsprintf ( string, "%08lX", pFunAddr[i]);
lvI.pszText=TEXT(string);
ListView_InsertItem(hListProcess,&lvI);
lvI.iItem=index;
lvI.iSubItem=1;
ZeroMemory(string,32);
wsprintf ( string, "%08lX",RVAToFOA(lpMemory,pFunAddr[i]));
lvI.pszText=TEXT(string);
ListView_SetItem(hListProcess,&lvI);
lvI.iItem=index;
lvI.iSubItem=2;
ZeroMemory(string,32);
wsprintf ( string, "%08lX",pOrdinalAddr[j]+pExportTable->Base);
lvI.pszText=TEXT(string);
ListView_SetItem(hListProcess,&lvI);
lvI.iItem=index;
lvI.iSubItem=3;
lvI.pszText=TEXT((char*)((DWORD)lpMemory+RVAToFOA(lpMemory,pFunNameAddr[j])));
ListView_SetItem(hListProcess,&lvI);
}
//没有找到 这是一个序号导出的函数 没有名字
else
{
lvI.iItem=index;
lvI.iSubItem=0;
ZeroMemory(string,32);
wsprintf ( string, "%08lX", pFunAddr[i]);
lvI.pszText=TEXT(string);
ListView_InsertItem(hListProcess,&lvI);
lvI.iItem=index;
lvI.iSubItem=1;
ZeroMemory(string,32);
wsprintf ( string, "%08lX",RVAToFOA(lpMemory,pFunAddr[i]));
lvI.pszText=TEXT(string);
ListView_SetItem(hListProcess,&lvI);
lvI.iItem=index;
lvI.iSubItem=2;
ZeroMemory(string,32);
wsprintf ( string, "%08lX",i+pExportTable->Base);
lvI.pszText=TEXT(string);
ListView_SetItem(hListProcess,&lvI);
lvI.iItem=index;
lvI.iSubItem=3;
lvI.pszText=TEXT("-");
ListView_SetItem(hListProcess,&lvI);
}
index++;
}
return 0;
}