PE导出表（输出表）学习笔记

最新推荐文章于 2024-06-28 13:15:25 发布

tzwj1983

最新推荐文章于 2024-06-28 13:15:25 发布

阅读量1.9k

点赞数 1

分类专栏： PE 文章标签：导出表

本文链接：https://blog.csdn.net/tzwj1983/article/details/63680521

版权

PE 专栏收录该内容

4 篇文章 0 订阅

订阅专栏

导出表结构

typedef struct _IMAGE_EXPORT_DIRECTORY {  
    DWORD   Characteristics;//未使用，总是定义为0  
    DWORD   TimeDateStamp;//文件生成时间  
    WORD    MajorVersion;//未使用，总是定义为0  
    WORD    MinorVersion;//未使用，总是定义为0  
    DWORD   Name;//模块的真实名称的RVA  
    DWORD   Base;//基数，加上序数就是函数地址数组的索引值  
    DWORD   NumberOfFunctions;//导出函数的总数  
    DWORD   NumberOfNames;//以名称方式导出的函数的总数  
    DWORD   AddressOfFunctions;// 指向输出函数地址的RVA  
    DWORD   AddressOfNames;// 指向输出函数名字的RVA  
    DWORD   AddressOfNameOrdinals; //指向输出函数序号的RVA  
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

NumberOfNames：被定义函数名称的导出函数的总数，显然只有这个数量的函数既可以用函数名方式导出。也可以用序号方式导出，剩下的NumberOfFunctions 减去NumberOfNames 数量的函数只能用序号方式导出。该字段的值只会小于或者等于 NumberOfFunctions 字段的值，如果这个值是0，表示所有的函数都是以序号方式导出的。
Base：导出函数序号的起始值，将AddressOfFunctions 字段指向的入口地址表的索引号(从0开始)加上这个起始值就是对应函数的导出序号。假如Base 字段的值为x，那么入口地址表指定的第1个导出函数的序号就是x；第2个导出函数的序号就是x＋1。总之，一个导出函数的导出序号等于Base 字段的值加上其在入口地址表中的位置索引值。
遍历导出表的流程:AddressOfFunctions（确定入口地址表的索引号）->根据索引号遍历函数序号表（函数序号表的数量小于NumberOfNames，如果遍历不到说明函数是序号导出，导出序号为Base 字段的值加上其在入口地址表中的位置索引值）->根据遍历的函数序号表索引号定位函数名字号表索引号（它们一样），找到函数名.

这里写图片描述

导出表遍历的部分API核心代码

BOOL Add_EXPORT_list_Items(HWND hListProcess,HWND hDlg)
{
    LVITEM lvI;ZeroMemory(&lvI,sizeof(lvI));
    DWORD index=0;
    char string[32];    ZeroMemory(string,32);
    //有效的项
    lvI.mask=LVIF_TEXT;
    TCHAR  Buff[16];ZeroMemory(Buff,sizeof(16));

    //定位导出表FOA的位置
    IMAGE_EXPORT_DIRECTORY* pExportTable = (IMAGE_EXPORT_DIRECTORY*)  
        ((DWORD)lpMemory + RVAToFOA(lpMemory, pOptionHeader->DataDirectory[0].VirtualAddress));     


    SetDlgItemText(hDlg,IDC_EDIT_DLLNAME,(char*)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->Name)));

     wsprintf ( string, "%08lX", pExportTable->Base);
    SetDlgItemText(hDlg,IDC_EDIT_Export_Base,string);

    wsprintf ( string, "%08lX", pExportTable->NumberOfFunctions);
    SetDlgItemText(hDlg,IDC_EDIT_Export_NumberOfFunctions,string);

    wsprintf ( string, "%08lX", pExportTable->AddressOfFunctions);
    SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfFunctions,string);

    wsprintf ( string, "%08lX", pExportTable->AddressOfNames);
    SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfNames,string);

    wsprintf ( string, "%08lX", pExportTable->AddressOfNameOrdinals);
    SetDlgItemText(hDlg,IDC_EDIT_Export_AddressOfNameOrdinals,string);


    int Num=pExportTable->NumberOfNames;  
    DWORD NumberOfFun=pExportTable->NumberOfFunctions;

    DWORD NumberOfName=pExportTable->AddressOfNames; 
    //取出三个表的FOA函数地址
    //函数地址
    PDWORD pFunAddr=(PDWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfFunctions));  
    //函数名地址
    PDWORD pFunNameAddr=(PDWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfNames));  
    //函数序号地址
    PWORD pOrdinalAddr=(PWORD)((DWORD)lpMemory+RVAToFOA(lpMemory,pExportTable->AddressOfNameOrdinals));

    for (DWORD i=0;i<NumberOfFun;i++)
    {
        //如果是无效函数 进行下一次
        if (!pFunAddr[i])
        {
            continue;
        }
        //此时为有效函数  在序号表查找是否有这个序号 用以判断是函数名导出函数序号导出
        DWORD j=0;
        for (;j<NumberOfName;j++)
        {
            if (i==pOrdinalAddr[j])
            {
                break;
            }
        }

        //找到了 这是一个函数名导出的函数
        if (j!=NumberOfName)
        {
            lvI.iItem=index;
            lvI.iSubItem=0;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX", pFunAddr[i]);
            lvI.pszText=TEXT(string);
            ListView_InsertItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=1;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",RVAToFOA(lpMemory,pFunAddr[i]));
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=2;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",pOrdinalAddr[j]+pExportTable->Base);
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=3;
            lvI.pszText=TEXT((char*)((DWORD)lpMemory+RVAToFOA(lpMemory,pFunNameAddr[j])));
            ListView_SetItem(hListProcess,&lvI);


        }
        //没有找到  这是一个序号导出的函数 没有名字
        else
        {
            lvI.iItem=index;
            lvI.iSubItem=0;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX", pFunAddr[i]);
            lvI.pszText=TEXT(string);
            ListView_InsertItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=1;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",RVAToFOA(lpMemory,pFunAddr[i]));
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=2;
            ZeroMemory(string,32);
            wsprintf ( string, "%08lX",i+pExportTable->Base);
            lvI.pszText=TEXT(string);
            ListView_SetItem(hListProcess,&lvI);

            lvI.iItem=index;
            lvI.iSubItem=3;
            lvI.pszText=TEXT("-");
            ListView_SetItem(hListProcess,&lvI);

        }

        index++;
    }


    return 0;
}