PE结构（一）导出表

最新推荐文章于 2023-09-30 15:43:50 发布
最新推荐文章于 2023-09-30 15:43:50 发布
阅读量331 收藏 2
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_37673331/article/details/104539704
版权

导出表结构

主要记三张表对应关系即可其他结构参照pe结构图一目了然

AddressOfFunctions
AddressOfNameOrdinals
AddressOfNames
在这里插入图片描述
函数地址表为准，可以理解为主索引
导出的ordinal+base才是真正的ordinal，图中红色部分ordinal为4，即函数地址表中第5条
名字地址表索引与ordinal表索引一致，一对一。
上代码

# define _CRT_SECURE_NO_WARNINGS
# include "stdio.h"
# include "stdlib.h"
# include "windows.h"
# include "PE.h"


/*
1、打印导出表信息，并打印出函数地址表、函数名表、序号表

2、同时写出按名字查找函数地址、按序号查找函数地址相关函数。
*/


int PrintFunctionAddressTable(PVOID FileAddress, DWORD AddressOfFunctions_RVA, DWORD NumberOfFunctions)
{
	int ret = 0;
	DWORD AddressOfFunctions_FOA = 0;

	//1、RVA --> FOA
	ret = RVA_TO_FOA(FileAddress, AddressOfFunctions_RVA, &AddressOfFunctions_FOA);
	if (ret != 0)
	{
		printf("func RVA_TO_FOA() Error!\n");
		return ret;
	}

	//2、指向函数地址表
	PDWORD FuncAddressTable = (PDWORD)((DWORD)FileAddress + AddressOfFunctions_FOA);

	//2、循环打印函数地址表
	printf("=================== 函数地址表 Start ===================\n");
	for (DWORD i = 0; i < NumberOfFunctions; i++)
	{
		DWORD FuncAddress_RVA = FuncAddressTable[i];
		DWORD FuncAddress_FOA = 0;
		ret = RVA_TO_FOA(FileAddress, FuncAddress_RVA, &FuncAddress_FOA);
		if (ret != 0)
		{
			printf("func RVA_TO_FOA() Error!\n");
			return ret;
		}

		printf("函数地址RVA    : %08X  |函数地址FOA    : %08X  \n", FuncAddress_RVA, FuncAddress_FOA);
	}
	printf("=================== 函数地址表 End   ===================\n\n");
	return ret;
}


//打印函数序号表
int PrintFunctionOrdinalTable(PVOID FileAddress, DWORD AddressOfOrdinal_RVA, DWORD NumberOfNames, DWORD Base)
{
	int ret = 0;
	DWORD AddressOfOrdinal_FOA = 0;

	//1、RVA --> FOA
	ret = RVA_TO_FOA(FileAddress, AddressOfOrdinal_RVA, &AddressOfOrdinal_FOA);
	if (ret != 0)
	{
		printf("func RVA_TO_FOA() Error!\n");
		return ret;
	}

	//2、指向函数序号表
	PWORD OrdinalTable = (PWORD)((DWORD)FileAddress + AddressOfOrdinal_FOA);

	//3、循环打印函数序号表
	printf("=================== 函数序号表 Start ===================\n");
	for (DWORD i = 0; i < NumberOfNames; i++)
	{
		printf("函数序号  :%04X  |Base+Ordinal   :%04X\n", OrdinalTable[i], OrdinalTable[i] + Base);
	}
	printf("=================== 函数序号表 End   ===================\n\n");
	return ret;
}


int PrintFunctionNameTable(PVOID FileAddress, DWORD AddressOfNames_RVA, DWORD NumberOfNames)
{
	int ret = 0;
	DWORD AddressOfNames_FOA = 0;
	
	//1、RVA --> FOA
	ret = RVA_TO_FOA(FileAddress, AddressOfNames_RVA, &AddressOfNames_FOA);
	if (ret != 0)
	{
		printf("func RVA_TO_FOA() Error!\n");
		return ret;
	}

	//2、指向函数名表
	PDWORD NameTable = (PDWORD)((DWORD)FileAddress + AddressOfNames_FOA);

	//3、循环打印函数序号表
	printf("=================== 函数名表 Start ===================\n");
	for (DWORD i = 0; i < NumberOfNames; i++)
	{
		DWORD FuncName_RVA = NameTable[i];
		DWORD FuncName_FOA = 0;
		ret = RVA_TO_FOA(FileAddress, FuncName_RVA, &FuncName_FOA);
		if (ret != 0)
		{
			printf("func RVA_TO_FOA() Error!\n");
			return ret;
		}
		PCHAR FuncName = (PCHAR)((DWORD)FileAddress + FuncName_FOA);

		printf("函数名  :%s\n", FuncName);
	}
	printf("=================== 函数名表 End   ===================\n\n");
	
	return ret;
}

int PrintExportTable(PVOID FileAddress)
{
	int ret = 0;

	//1、指向相关内容
	PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)(FileAddress);
	PIMAGE_FILE_HEADER pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pDosHeader + pDosHeader->e_lfanew + 4);
	PIMAGE_OPTIONAL_HEADER32 pOptionalHeader = (PIMAGE_OPTIONAL_HEADER32)((DWORD)pFileHeader + sizeof(IMAGE_FILE_HEADER));

	//2、获取导出表的地址
	DWORD ExportDirectory_RAVAdd = pOptionalHeader->DataDirectory[0].VirtualAddress;
	DWORD ExportDirectory_FOAAdd = 0;
	//	(1)、判断导出表是否存在
	if (ExportDirectory_RAVAdd == 0)
	{
		printf("ExportDirectory 不存在!\n");
		return ret;
	}
	//	(2)、获取导出表的FOA地址
	ret = RVA_TO_FOA(FileAddress, ExportDirectory_RAVAdd, &ExportDirectory_FOAAdd);
	if (ret != 0)
	{
		printf("func RVA_TO_FOA() Error!\n");
		return ret;
	}

	//3、指向导出表
	PIMAGE_EXPORT_DIRECTORY ExportDirectory = (PIMAGE_EXPORT_DIRECTORY)((DWORD)FileAddress + ExportDirectory_FOAAdd);

	//4、找到文件名
	DWORD FileName_RVA = ExportDirectory->Name;
	DWORD FileName_FOA = 0;
	ret = RVA_TO_FOA(FileAddress, FileName_RVA, &FileName_FOA);
	if (ret != 0)
	{
		printf("func RVA_TO_FOA() Error!\n");
		return ret;
	}
	PCHAR FileName = (PCHAR)((DWORD)FileAddress + FileName_FOA);

	//5、打印导出表信息
	printf("DWORD Characteristics;        :  %08X\n", ExportDirectory->Characteristics);
	printf("DWORD TimeDateStamp;          :  %08X\n", ExportDirectory->TimeDateStamp);
	printf("WORD  MajorVersion;           :  %04X\n", ExportDirectory->MajorVersion);
	printf("WORD  MinorVersion;           :  %04X\n", ExportDirectory->MinorVersion);
	printf("DWORD Name;                   :  %08X     \"%s\"\n", ExportDirectory->Name, FileName);
	printf("DWORD Base;                   :  %08X\n", ExportDirectory->Base);
	printf("DWORD NumberOfFunctions;      :  %08X\n", ExportDirectory->NumberOfFunctions);
	printf("DWORD NumberOfNames;          :  %08X\n", ExportDirectory->NumberOfNames);
	printf("DWORD AddressOfFunctions;     :  %08X\n", ExportDirectory->AddressOfFunctions);
	printf("DWORD AddressOfNames;         :  %08X\n", ExportDirectory->AddressOfNames);
	printf("DWORD AddressOfNameOrdinals;  :  %08X\n", ExportDirectory->AddressOfNameOrdinals);
	printf("=========================================================\n");
	printf("*********************************************************\n");

	//6、打印函数地址表 数量由NumberOfFunctions决定
	ret = PrintFunctionAddressTable(FileAddress, ExportDirectory->AddressOfFunctions, ExportDirectory->NumberOfFunctions);
	if (ret != 0)
	{
		printf("func PrintFunctionAddressTable() Error!\n");
		return ret;
	}

	//7、打印函数序号表 数量由NumberOfNames决定
	ret = PrintFunctionOrdinalTable(FileAddress, ExportDirectory->AddressOfNameOrdinals, ExportDirectory->NumberOfNames, ExportDirectory->Base);
	if (ret != 0)
	{
		printf("func PrintFunctionOrdinalTable() Error!\n");
		return ret;
	}

	//8、打印函数名表 数量由NumberOfNames决定
	ret = PrintFunctionNameTable(FileAddress, ExportDirectory->AddressOfNames, ExportDirectory->NumberOfNames);
	if (ret != 0)
	{
		printf("func PrintFunctionNameTable() Error!\n");
		return ret;
	}

	return ret;
}

//===============================================================================================

int GetProcAddressByName(PVOID FileAddress, PCHAR pFuncName, PDWORD FuncAddressRVA)
{
	int ret = 0;

	//1、指向相关内容
	PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)(FileAddress);
	PIMAGE_FILE_HEADER pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pDosHeader + pDosHeader->e_lfanew + 4);
	PIMAGE_OPTIONAL_HEADER32 pOptionalHeader = (PIMAGE_OPTIONAL_HEADER32)((DWORD)pFileHeader + sizeof(IMAGE_FILE_HEADER));

	//2、获取导出表的地址
	DWORD ExportDirectory_RAVAdd = pOptionalHeader->DataDirectory[0].VirtualAddress;
	DWORD ExportDirectory_FOAAdd = 0;
	//	(1)、判断导出表是否存在
	if (ExportDirectory_RAVAdd == 0)
	{
		printf("ExportDirectory 不存在!\n");
		return ret;
	}
	//	(2)、获取导出表的FOA地址
	ret = RVA_TO_FOA(FileAddress, ExportDirectory_RAVAdd, &ExportDirectory_FOAAdd);
	if (ret != 0)
	{
		printf("func RVA_TO_FOA() Error!\n");
		return ret;
	}

	//3、指向导出表
	PIMAGE_EXPORT_DIRECTORY ExportDirectory = (PIMAGE_EXPORT_DIRECTORY)((DWORD)FileAddress + ExportDirectory_FOAAdd);

	//4、指向函数名表
	DWORD FuncNameTableRVA = ExportDirectory->AddressOfNames;
	DWORD FuncNameTableFOA = 0;
	ret = RVA_TO_FOA(FileAddress, FuncNameTableRVA, &FuncNameTableFOA);
	if (ret != 0)
	{
		printf("func RVA_TO_FOA() Error!\n");
		return ret;
	}
	PDWORD FuncNameTable = (PDWORD)((DWORD)FileAddress + FuncNameTableFOA);

	//5、遍历函数名表
	for (DWORD i = 0; i < ExportDirectory->NumberOfNames; i++)
	{
		DWORD FuncNameRVA = FuncNameTable[i];
		DWORD FuncNameFOA = 0;
		ret = RVA_TO_FOA(FileAddress, FuncNameRVA, &FuncNameFOA);
		if (ret != 0)
		{
			printf("func RVA_TO_FOA() Error!\n");
			return ret;
		}
		PCHAR FuncName = (PCHAR)((DWORD)FileAddress + FuncNameFOA);

		//6、找到相同的函数名
		if (memcmp(FuncName, pFuncName, strlen(pFuncName)) == 0)
		{
			//7、计算真正的函数序号的索引值
			DWORD dwFuncOrdinalIndex = i;

			//8、找到函数序号表
			DWORD FuncOrdinalTableRVA = ExportDirectory->AddressOfNameOrdinals;
			DWORD FuncOrdinalTableFOA = 0;
			ret = RVA_TO_FOA(FileAddress, FuncOrdinalTableRVA, &FuncOrdinalTableFOA);
			if (ret != 0)
			{
				printf("func RVA_TO_FOA() Error!\n");
				return ret;
			}
			PWORD FuncOrdinalTable = (PWORD)((DWORD)FileAddress + FuncOrdinalTableFOA);

			//9、获取函数序号
			WORD wFuncOrdinal = FuncOrdinalTable[dwFuncOrdinalIndex];

			//10、找到函数地址表
			DWORD FuncAddressTableRVA = ExportDirectory->AddressOfFunctions;
			DWORD FuncAddressTableFOA = 0;
			ret = RVA_TO_FOA(FileAddress, FuncAddressTableRVA, &FuncAddressTableFOA);
			if (ret != 0)
			{
				printf("func RVA_TO_FOA() Error!\n");
				return ret;
			}
			PDWORD FuncAddressTable = (PDWORD)((DWORD)FileAddress + FuncAddressTableFOA);

			//11、获取函数地址
			*FuncAddressRVA = FuncAddressTable[wFuncOrdinal];

			break;
		}
	}
	
	return ret;
}


int GetProcAddressByOrdinal(PVOID FileAddress, WORD wFuncOrdinal, PDWORD FuncAddressRVA)
{
	int ret = 0;
	
	//1、指向相关内容
	PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)(FileAddress);
	PIMAGE_FILE_HEADER pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pDosHeader + pDosHeader->e_lfanew + 4);
	PIMAGE_OPTIONAL_HEADER32 pOptionalHeader = (PIMAGE_OPTIONAL_HEADER32)((DWORD)pFileHeader + sizeof(IMAGE_FILE_HEADER));

	//2、获取导出表的地址
	DWORD ExportDirectory_RAVAdd = pOptionalHeader->DataDirectory[0].VirtualAddress;
	DWORD ExportDirectory_FOAAdd = 0;
	//	(1)、判断导出表是否存在
	if (ExportDirectory_RAVAdd == 0)
	{
		printf("ExportDirectory 不存在!\n");
		return ret;
	}
	//	(2)、获取导出表的FOA地址
	ret = RVA_TO_FOA(FileAddress, ExportDirectory_RAVAdd, &ExportDirectory_FOAAdd);
	if (ret != 0)
	{
		printf("func RVA_TO_FOA() Error!\n");
		return ret;
	}

	//3、指向导出表
	PIMAGE_EXPORT_DIRECTORY ExportDirectory = (PIMAGE_EXPORT_DIRECTORY)((DWORD)FileAddress + ExportDirectory_FOAAdd);
	
	//4、获取函数序号
	DWORD FuncOrdinal = wFuncOrdinal - ExportDirectory->Base;
	
	//5、找到函数地址表
	DWORD FuncAddressTableRVA = ExportDirectory->AddressOfFunctions;
	DWORD FuncAddressTableFOA = 0;
	ret = RVA_TO_FOA(FileAddress, FuncAddressTableRVA, &FuncAddressTableFOA);
	if (ret != 0)
	{
		printf("func RVA_TO_FOA() Error!\n");
		return ret;
	}
	PDWORD FuncAddressTable = (PDWORD)((DWORD)FileAddress + FuncAddressTableFOA);

	//11、获取函数地址
	*FuncAddressRVA = FuncAddressTable[FuncOrdinal];

	return ret;
}

int main()
{
	int ret = 0;
	PVOID FileAddress = NULL;


	//1、将文件读入到内存   
	ret = MyReadFile(&FileAddress);
	if (ret != 0)
	{
		if (FileAddress != NULL)
			free(FileAddress);
		return ret;
	}

	//2、打印导出表
	ret = PrintExportTable(FileAddress);
	if (ret != 0)
	{
		if (FileAddress != NULL)
			free(FileAddress);
		return ret;
	}

	//3、按名字查找函数地址
	DWORD FuncAddressRVA = 0;
	PCHAR FuncName = "_Assemble";
	ret = GetProcAddressByName(FileAddress, FuncName, &FuncAddressRVA);
	if (ret != 0)
	{
		printf("func GetProcAddressByName Error!\n");
		if (FileAddress != NULL)
			free(FileAddress);
		return ret;
	}
	printf("函数地址RVA:  %08X  |函数名： %s  \n\n", FuncAddressRVA, FuncName);


	//4、按序号查找函数地址
	FuncAddressRVA = 0;
	WORD FuncOrdinal = 4;
	ret = GetProcAddressByOrdinal(FileAddress, FuncOrdinal, &FuncAddressRVA);
	if (ret != 0)
	{
		printf("func GetProcAddressByOrdinal Error!\n");
		if (FileAddress != NULL)
			free(FileAddress);
		return ret;
	}
	printf("函数地址RVA:  %08X  |函数序号： %04X  \n", FuncAddressRVA, FuncOrdinal);


	if (FileAddress != NULL)
		free(FileAddress);

	system("pause");
	return ret;
}
吾乃花花
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
PE结构->【导出表】Export
u011513939的博客
06-22 503
当PE 文件被执行的时候，Windows 加载器将文件装入内存并将导出表(Export Table) 登记的动态链接库(一般是DLL 格式)文件一并装入地址空间，再根据DLL 文件中的函数导出信息对被执行文件的IAT 进行修正。 有一个重要的概念需要记住：动态链接库是被映射到其他应用程序的地址空间中执行的，它和应用程序可以看成是“一体”的。动态链接库可以使用应用程序的资源，它所拥有的资源也可以被应用
pe导出表pe导出表pe导出表pe导出表pe导出表pe导出表pe导出表
08-21
PE导出表是PE文件结构的一部分，它是程序对外提供服务的关键组件。在深入理解PE导出表之前，我们先简单回顾一下PE文件的基本结构。 PE文件由头文件（包含文件头和节表）和节组成。文件头提供了关于文件类型、大小、...
C++实现PE文件添加新节区（加壳器）
Anansi的博客
03-21 2607
最近潜心研究二进制安全，接触到了shellcode还有加壳脱壳有关的内容，于是心血来潮，想用自己不怎么成熟的编程功夫来实现写一个加壳器，并记录下代码编写过程中遇到的坑。 （以下文章中区段==节区） PE文件格式 pe(Portable Executable)其实就是在windows系统上的程序文件，这种文件格式在windows系列操作系统上基本上是通用的，我们平时见到的.exe、.dll、.obj...
【逆向】（c++）分析pe结构，拉伸pe结构，缩小pe结构
最新发布
fzucaicai的博客
09-30 1188
建议大家认认真真写一遍，收获蛮大的，是可以加深对pe结构的理解，尤其是对指针的使用，和对win32的一些宏的定义的理解和使用。
根据函数名称导出函数
VSavitar的博客
08-20 929
根据函数名称导出函数指针的方法
PE导出表，C语言打印导出表信息【滴水逆向三期49笔记＋作业】
WdIg-2023的博客
03-22 778
我们前面在学习PE文件结构的时候，在可选PE头里跳过了最后一项，为一个有16个元素结构体数组，我们称它为数据目录。 今天我们来学习数据目录的第一个结构：导出表。
PE结构->【导出表】工具包
06-22
在PE文件中，导出表是一个非常重要的组成部分，它定义了该文件可以提供给其他模块调用的函数或数据。本工具包专注于PE文件的导出表解析与操作。 导出表包含以下几个关键元素： 1. **导出地址表（Export Address ...
编辑/查看DLL文件的PE导出表工具ExpX-v0.5
05-21
软件说明： ExpX是一个编辑/查看PE文件导出表的工具。 利用它可以方便的对PE文件的导出表进行增、删... 这个程序为学习PE结构的产品，如果时间精力允许我会继续更新。 如果你有什么建议请发到我的邮箱ttui@163.com。
PE结构导入/出表 类封装
12-18
PE结构导入/出表 类封装 里面有备注 调用方式 将文件导入至工程 引用头文件后 直接调用即可 ExePath 为Pe文件路径 CPE * pe = new CPE(ExePath); if (!pe->Initialize()) { MessageBox(_T("PE初始化失败")); ...
PE导出表查看器-易语言
06-11
《PE导出表查看器-易语言》是针对PE（Portable Executable）文件格式中导出表解析的一个高级教程源码。PE文件格式是Windows操作系统中用于执行程序的标准格式，而导出表则是PE文件中一个重要的组成部分，主要用于...
PE结构导出表详细解析
huobengle
01-27 510
只码重点 DLL导出方式： 按名称导出： 1.__declspec(dllexport) 2. LIBRARYDLL EXPORTS FuncDll 按序号导出： LIBRARYDLL EXPORTS FuncDll @1NONAME 按名称和序号导出： LIBRARYDLL EXPORTS fnDll1@1NONAME fnDll2@2 //这个就是 ...
PE格式详细讲解9 - 系统篇09|解密系列
weixin_34067980的博客
06-29 136
PE格式详细讲解9-系统篇09 让编程改变世界 Change the world by program 当PE 文件被执行的时候，Windows 加载器将文件装入内存并将导出表(Export Table) 登记的动态链接库(一般是DLL 格式)文件一并装入地址空间，再根据DLL 文件中的函数导出信息对被执行文件的IAT 进行修正。 基础补充： 很多朋友可能看到这里...
C++PE文件格式解析类（轻松制作自己的PE文件解析器）
paschen的专栏
02-06 8436
用C++封装了可以轻松高效获取PE文件中各信息的类，该类有较高可读性，同时具有一定的通用性，适合学习，也适合轻松实现自己的PE文件信息查看软件
PE文件解析--导出表
qq_31125257的博客
12-22 1373
1、定位导出表 可选pe头中的最后一个字段：数据目录项 typedef struct _IMAGE_DATA_DIRECTORY { DWORD VirtualAddress; DWORD Size; } IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY; 如何找到这个结构前面的文章已经说过。而且这个 Size 字段不一定是真实的。 上面 Vi
手工解析PE(导出表的使用)
GNAIXGNAHZ的博客
06-22 300
手工解析PE(导出表的使用)
PE文件之移动导出表(自学笔记)
Sanshul的博客
12-22 298
PE文件之移动导出表(自学笔记)
PE_导出表
qq_42363151的博客
09-25 102
PE
PE导出表
qq_41490873的博客
12-15 187
导出表结构 typedef struct _IMAGE_EXPORT_DIRECTORY { DWORD Characteristics; DWORD TimeDateStamp; WORD MajorVersion; WORD MinorVersion; DWORD Name; //指向该导出表文件名 （RVA） DWORD Base;//导出表的起始序号 （序号表的......
PE导出表（输出表）学习笔记
tzwj1983的博客
03-19 1928
导出表
实验7 pe导出表分析及应用
06-08
Pe导出表是PE文件中的一个数据结构，用于存储可执行文件或动态链接库(DLL)中的函数和变量。Pe导出表分析可以帮助我们了解一个程序的功能和调用关系，从而进行代码审计、反制恶意程序等方面的应用。 在实验7中，我们可以通过使用工具如PEview、PE Explorer等对PE文件的导出表进行分析，了解其中包含的函数和变量信息。同时，我们还可以使用工具如DLL Export Viewer、Dependency Walker等来查看DLL文件的导出表信息。 在实际应用中，Pe导出表分析可以用于以下方面： - 程序调试和逆向工程：通过分析导出表中的函数和变量，可以帮助我们了解程序的逻辑和调用关系，从而进行调试和逆向分析。 - 恶意程序检测：恶意程序通常会使用一些特定的函数和变量来实现其攻击功能，通过分析导出表中的函数和变量，可以帮助我们快速识别和查找这些恶意代码。 - 应用程序开发：在开发应用程序时，我们可以利用导出表中的函数和变量实现各种功能，如调用系统API、实现插件机制等。 总之，Pe导出表分析是一个非常有用的技能，可以帮助我们更好地理解和应用PE文件和DLL文件。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值