PE导出表(输出表)学习笔记

导出表结构

typedef struct _IMAGE_EXPORT_DIRECTORY {  
    DWORD   Characteristics;//未使用,总是定义为0  
    DWORD   TimeDateStamp;//文件生成时间  
    WORD    MajorVersion;//未使用,总是定义为0  
    WORD    MinorVersion;//未使用,总是定义为0  
    DWORD   Name;//模块的真实名称的RVA  
    DWORD   Base;//基数,加上序数就是函数地址数组的索引值  
    DWORD   NumberOfFunctions;//导出函数的总数  
    DWORD   NumberOfNames;//以名称方式导出的函数的总数  
    DWORD   AddressOfFunctions;// 指向输出函数地址的RVA  
    DWORD   AddressOfNames;// 指向输出函数名字的RVA  
    DWORD   AddressOfNameOrdinals; //指向输出函数序号的RVA  
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;
  • NumberOfNames:被定义函数名称的导出函数的总数,显然只有这个数量的函数既可以用函数名方式导出。也可以用序号方式导出,剩下 的NumberOfFunctions 减去NumberOfNames 数量的函数只能用序号方式导出。该字段的值只会小于或者等于 NumberOfFunctions 字段的值,如果这个值是0,表示所有的函数都是以序号方式导出的。

  • Base:导出函数序号的起始值,将AddressOfFunctions 字段指向的入口地址表的索引号(从0开始)加上这个起始值就是对应函数的导出 序号。假如Base 字段的值为x,那么入口地址表指定的第1个导出函数的序号就是x;第2个导出函数的序号就是x+1。总之,一个导出函数的导出序号等 于Base 字段的值加上其在入口地址表中的位置索引值。

  • 遍历导出表的流程:AddressOfFunctions(确定入口地址表的索引号)->根据索引号遍历函数序号表(函数序号表的数量小于NumberOfNames,如果遍历不到说明函数是序号导出,导出序号为Base 字段的值加上其在入口地址表中的位置索引值)->根据遍历的函数序号表索引号定位函数名字号表索引号(它们一样),找到函数名.

这里写图片描述

-

导出表遍历的部分API核心代码

BOOL Add_EXPORT_list_Items(HWND hListProcess,HWND hDlg)
{
    LVITEM lvI;ZeroMemory(&lvI,sizeof(lvI));
    DWORD index=0;
    char string[32];    ZeroMemory(string,32);
    //有效的项
    lvI.mask=LVIF_TEXT;
    TCHAR  Buff[16];ZeroMemory(Buff,sizeof(16));

    //定位导出表FOA的位置
    IMAGE_EXPORT_DIRECTORY* pExportTable = (IMAGE_EXPORT_DIRECTORY*)  
        ((DWORD)lpMemory + RVAToFOA(lpMemory, pOptionHeader->DataDirectory[0].VirtualAddress));     


    SetDlgItemText(hDlg,IDC_EDIT_DLLNAME,(char*)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->Name)));

     wsprintf ( string, "%08lX", pExportTable->Base);
    SetDlgItemText(hDlg,IDC_EDIT_Export_Base,string);

    wsprintf ( string, "%08lX", pExportTable->NumberOfFunctions);
    SetDlgItemText(hDlg,IDC_EDIT_Export_NumberOfFunctions,string);

    wsprintf ( string, "%08lX", pExportTable->AddressOfFunctions);
    SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfFunctions,string);

    wsprintf ( string, "%08lX", pExportTable->AddressOfNames);
    SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfNames,string);

    wsprintf ( string, "%08lX", pExportTable->AddressOfNameOrdinals);
    SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfNameOrdinals,string);


    int Num=pExportTable->NumberOfNames;  
    DWORD NumberOfFun=pExportTable->NumberOfFunctions;

    DWORD NumberOfName=pExportTable->AddressOfNames; 
    //取出三个表的FOA函数地址
    //函数地址
    PDWORD pFunAddr=(PDWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfFunctions));  
    //函数名地址
    PDWORD pFunNameAddr=(PDWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfNames));  
    //函数序号地址
    PWORD pOrdinalAddr=(PWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfNameOrdinals));

    for (DWORD i=0;i<NumberOfFun;i++)
    {
        //如果是无效函数 进行下一次
        if (!pFunAddr[i])
        {
            continue;
        }
        //此时为有效函数  在序号表查找是否有这个序号 用以判断是函数名导出函数序号导出
        DWORD j=0;
        for (;j<NumberOfName;j++)
        {
            if (i==pOrdinalAddr[j])
            {
                break;
            }
        }

        //找到了 这是一个函数名导出的函数
        if (j!=NumberOfName)
        {
            lvI.iItem=index;
            lvI.iSubItem=0;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX", pFunAddr[i]);
            lvI.pszText=TEXT(string);
            ListView_InsertItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=1;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",RVAToFOA(lpMemory,pFunAddr[i]));
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=2;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",pOrdinalAddr[j]+pExportTable->Base);
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=3;
            lvI.pszText=TEXT((char*)((DWORD)lpMemory+RVAToFOA(lpMemory,pFunNameAddr[j])));
            ListView_SetItem(hListProcess,&lvI);


        }
        //没有找到  这是一个序号导出的函数 没有名字
        else
        {
            lvI.iItem=index;
            lvI.iSubItem=0;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX", pFunAddr[i]);
            lvI.pszText=TEXT(string);
            ListView_InsertItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=1;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",RVAToFOA(lpMemory,pFunAddr[i]));
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=2;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",i+pExportTable->Base);
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=3;
            lvI.pszText=TEXT("-");
            ListView_SetItem(hListProcess,&lvI);

        }

        index++;
    }


    return 0;
}
  • 1
    点赞
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
大学生参加学科竞赛有着诸多好处,不仅有助于个人综合素质的提升,还能为未来职业发展奠定良好基础。以下是一些分析: 首先,学科竞赛是提高专业知识和技能水平的有效途径。通过参与竞赛,学生不仅能够深入学习相关专业知识,还能够接触到最新的科研成果和技术发展趋势。这有助于拓展学生的学科视野,使其对专业领域有更深刻的理解。在竞赛过程中,学生通常需要解决实际问题,这锻炼了他们独立思考和解决问题的能力。 其次,学科竞赛培养了学生的团队合作精神。许多竞赛项目需要团队协作来完成,这促使学生学会有效地与他人合作、协调分工。在团队合作中,学生们能够学到如何有效沟通、共同制定目标和分工合作,这对于日后进入职场具有重要意义。 此外,学科竞赛是提高学生综合能力的一种途径。竞赛项目通常会涉及到理论知识、实际操作和创新思维等多个方面,要求参赛者具备全面的素质。在竞赛过程中,学生不仅需要展现自己的专业知识,还需要具备创新意识和解决问题的能力。这种全面的综合能力培养对于未来从事各类职业都具有积极作用。 此外,学科竞赛可以为学生提供展示自我、树立信心的机会。通过比赛的舞台,学生有机会展现自己在专业领域的优势,得到他人的认可和赞誉。这对于培养学生的自信心和自我价值感非常重要,有助于他们更加积极主动地投入学习和未来的职业生涯。 最后,学科竞赛对于个人职业发展具有积极的助推作用。在竞赛中脱颖而出的学生通常能够引起企业、研究机构等用人单位的关注。获得竞赛奖项不仅可以作为个人履历的亮点,还可以为进入理想的工作岗位提供有力的支持。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值