WIN32汇编语言程序设计——取出导入表的函数及引用DLL名称信息（CHA17）

原创

已于 2023-03-29 09:25:23 修改 · 396 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#windows #c++ #开发语言

于 2023-03-22 22:54:19 首次发布

一、相关意义及说明

每个PE文件中都有引用动态链接库DLL文件及其中相关的函数，在观察PE文件需要用到哪些DLL文件及函数时，最直观的方式就是取出引用的DLL文件名和相关函数的文件名。

二、分析书本实例（CHA17-Import文件夹—_ProcessPeFile）

1. _ProcessPeFile子程序参数的意义

(1) 子程序参数1：已经读取到内存中的文件头的地址。通过内存映射读取到整个PE文件在内存中的起始位置。

(2) 子程序参数2：PE文件头在内存中的偏移地址。也就是在MAGE_DOS_HEADER 结构中取出的e_lfanew的值。

(3) 子程序参数3：整个PE文件的长度。通过打开文件后拿到的句柄，用GetFileSize函数拿到文件的长度。

2. 获取数据块的文件偏移地址。用子程序参数2得到IMAGE_NT_HEADERS结构的地址，从而得到数据目录中第二个IMAGE_DATA_DIRECTORY结构的VirtualAddress值——对应导入表数据块的起始RVA。值得一提的是访问数据目录表的时候地址是DataDirectory[8].VirtualAddress，这里要说明一下：在MASM中，不管数组中的单个数组项字节数是多少，括号中的数值都是字节地址而不是数组下标，所以数据目录表结构的长度是8的时候，访问第n个结构时要寻址的就是DataDirectory[n*8]，所以上面的DataDirectory[8]实际上是DataDirectory[1*8]的意思，表示访问的是索引号为1的数组项。

_ProcessPeFile	proc	_lpFile,_lpPeHead,_dwSize
		local	@szBuffer[1024]:byte,@szSectionName[16]:byte

		pushad
		mov	edi,_lpPeHead
		assume	edi:ptr IMAGE_NT_HEADERS
;**********************************************