移动导出表

为什么要移动PE的各种数据目录表

为了保护程序，可以对exe程序的二进制代码进行加密操作。但是，各种表的信息和客户字节的代码以及数据都混在了一起，如若进行加密操作，系统在初始化时就会出现问题。

移动导出表的步骤

原本的导出表结构如下图所示：

经过移动导出表，我们要达到下面的效果：

具体步骤

1. 在DLL中新增一个节，并返回新增之后的FOA
2. 将AddressOfFunctions拷贝进这个FOA
   长度：NumberOfFunctions*4
3. 将AddressOfOrdinals拷贝进这个FOA，并紧挨在第二步的AddressOfFunctions后面
   长度：NumberOfNames*2
4. 将AddressOfNames拷贝进这个FOA，并紧挨在第三步的AddressOfOrdinals后面
   长度：NumberOfNames*4
5. 复制所有函数名字符串
   长度不确定，需要动态计算。复制时直接修复AddressOfNames逐个指向这些字符串的首地址
6. 拷贝IMAGE_EXPORT_DIRECTORY结构进这个FOA
7. 修复IMAGE_EXPORT_DIRECTORY结构中的AddressOfFunctions和AddressOfOrdinals以及AddressOfNames三张表
8. 修复目录项中的VirtualAddress值，指向新的IMAGE_EXPORT_DIRECTORY