PE导出表(输出表)学习笔记

导出表结构

typedef struct _IMAGE_EXPORT_DIRECTORY {  
    DWORD   Characteristics;//未使用,总是定义为0  
    DWORD   TimeDateStamp;//文件生成时间  
    WORD    MajorVersion;//未使用,总是定义为0  
    WORD    MinorVersion;//未使用,总是定义为0  
    DWORD   Name;//模块的真实名称的RVA  
    DWORD   Base;//基数,加上序数就是函数地址数组的索引值  
    DWORD   NumberOfFunctions;//导出函数的总数  
    DWORD   NumberOfNames;//以名称方式导出的函数的总数  
    DWORD   AddressOfFunctions;// 指向输出函数地址的RVA  
    DWORD   AddressOfNames;// 指向输出函数名字的RVA  
    DWORD   AddressOfNameOrdinals; //指向输出函数序号的RVA  
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;
  • NumberOfNames:被定义函数名称的导出函数的总数,显然只有这个数量的函数既可以用函数名方式导出。也可以用序号方式导出,剩下 的NumberOfFunctions 减去NumberOfNames 数量的函数只能用序号方式导出。该字段的值只会小于或者等于 NumberOfFunctions 字段的值,如果这个值是0,表示所有的函数都是以序号方式导出的。

  • Base:导出函数序号的起始值,将AddressOfFunctions 字段指向的入口地址表的索引号(从0开始)加上这个起始值就是对应函数的导出 序号。假如Base 字段的值为x,那么入口地址表指定的第1个导出函数的序号就是x;第2个导出函数的序号就是x+1。总之,一个导出函数的导出序号等 于Base 字段的值加上其在入口地址表中的位置索引值。

  • 遍历导出表的流程:AddressOfFunctions(确定入口地址表的索引号)->根据索引号遍历函数序号表(函数序号表的数量小于NumberOfNames,如果遍历不到说明函数是序号导出,导出序号为Base 字段的值加上其在入口地址表中的位置索引值)->根据遍历的函数序号表索引号定位函数名字号表索引号(它们一样),找到函数名.

这里写图片描述

-

导出表遍历的部分API核心代码

BOOL Add_EXPORT_list_Items(HWND hListProcess,HWND hDlg)
{
    LVITEM lvI;ZeroMemory(&lvI,sizeof(lvI));
    DWORD index=0;
    char string[32];    ZeroMemory(string,32);
    //有效的项
    lvI.mask=LVIF_TEXT;
    TCHAR  Buff[16];ZeroMemory(Buff,sizeof(16));

    //定位导出表FOA的位置
    IMAGE_EXPORT_DIRECTORY* pExportTable = (IMAGE_EXPORT_DIRECTORY*)  
        ((DWORD)lpMemory + RVAToFOA(lpMemory, pOptionHeader->DataDirectory[0].VirtualAddress));     


    SetDlgItemText(hDlg,IDC_EDIT_DLLNAME,(char*)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->Name)));

     wsprintf ( string, "%08lX", pExportTable->Base);
    SetDlgItemText(hDlg,IDC_EDIT_Export_Base,string);

    wsprintf ( string, "%08lX", pExportTable->NumberOfFunctions);
    SetDlgItemText(hDlg,IDC_EDIT_Export_NumberOfFunctions,string);

    wsprintf ( string, "%08lX", pExportTable->AddressOfFunctions);
    SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfFunctions,string);

    wsprintf ( string, "%08lX", pExportTable->AddressOfNames);
    SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfNames,string);

    wsprintf ( string, "%08lX", pExportTable->AddressOfNameOrdinals);
    SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfNameOrdinals,string);


    int Num=pExportTable->NumberOfNames;  
    DWORD NumberOfFun=pExportTable->NumberOfFunctions;

    DWORD NumberOfName=pExportTable->AddressOfNames; 
    //取出三个表的FOA函数地址
    //函数地址
    PDWORD pFunAddr=(PDWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfFunctions));  
    //函数名地址
    PDWORD pFunNameAddr=(PDWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfNames));  
    //函数序号地址
    PWORD pOrdinalAddr=(PWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfNameOrdinals));

    for (DWORD i=0;i<NumberOfFun;i++)
    {
        //如果是无效函数 进行下一次
        if (!pFunAddr[i])
        {
            continue;
        }
        //此时为有效函数  在序号表查找是否有这个序号 用以判断是函数名导出函数序号导出
        DWORD j=0;
        for (;j<NumberOfName;j++)
        {
            if (i==pOrdinalAddr[j])
            {
                break;
            }
        }

        //找到了 这是一个函数名导出的函数
        if (j!=NumberOfName)
        {
            lvI.iItem=index;
            lvI.iSubItem=0;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX", pFunAddr[i]);
            lvI.pszText=TEXT(string);
            ListView_InsertItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=1;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",RVAToFOA(lpMemory,pFunAddr[i]));
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=2;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",pOrdinalAddr[j]+pExportTable->Base);
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=3;
            lvI.pszText=TEXT((char*)((DWORD)lpMemory+RVAToFOA(lpMemory,pFunNameAddr[j])));
            ListView_SetItem(hListProcess,&lvI);


        }
        //没有找到  这是一个序号导出的函数 没有名字
        else
        {
            lvI.iItem=index;
            lvI.iSubItem=0;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX", pFunAddr[i]);
            lvI.pszText=TEXT(string);
            ListView_InsertItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=1;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",RVAToFOA(lpMemory,pFunAddr[i]));
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=2;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",i+pExportTable->Base);
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=3;
            lvI.pszText=TEXT("-");
            ListView_SetItem(hListProcess,&lvI);

        }

        index++;
    }


    return 0;
}
  • 1
    点赞
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值