winapi - 显示有关 IMAGE_EXPORT_DIRECTORY 的信息

Question

我想按以下形式打印有关 IMAGE_EXPORT_DIRECTORY 的信息:

<Name1>,<Ordinal1>,<FileAddress1>

我知道这个 IMAGE 由 3 个数组组成:

1. AddressOfFunctions -(导出地址表，每个元素都是一个 RVA)
2. AddressOfNames -(导出名称指针表，每个元素也是一个 RVA - 有序？)
3. AddressOfNameOrdinals(其中数组元素 - Base 表示 EAT 中的序数)

但是我如何访问这些表以便在一行中打印每个元素的信息？另外，当 NumberOfNames < NumberOfFunctions 时会发生什么？

我已经知道如何到达 IMAGE_EXPORT_DIRECTORY

PIMAGE_DATA_DIRECTORY pFirstDir = &(pOptionalHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT]);
if (pFirstDir->Size > 0)
{
        PIMAGE_EXPORT_DIRECTORY pExportDir = (PIMAGE_EXPORT_DIRECTORY)((BYTE *)pDosHeader + ConvertRvaToOffset(pFirstDir->VirtualAddress, pNTHeaders));
}

如果有人可以解释这些数组的实际工作原理或如何访问它们的算法，我们将不胜感激。

Answer 1

您可以使用以下伪 C 代码:

UINT32 *export_addr_table = (UINT32 *) MAP(pExportDir->AddressOfFunctions);
UINT32 *export_nameptr_table = (UINT32 *) MAP(pExportDir->AddressOfNames);
UINT16 *export_ordinal_table = (UINT16 *) MAP(pExportDir->AddressOfNameOrdinals);

for (SIZE_T i = 0; i < pExportDir->NumberOfFunctions; i++)
{
    UINT32 ordinal = pExportDir->Base + i;

    UINT32 export_rva = export_addr_table[i];

    if (is_forwarder_rva(export_rva))
    {
        // TODO: special care must be taken here - we cannot resolve directly to a VA unless target module is memory mapped
    }
    else
    {
        BOOL found_symname = FALSE;
        char symname[MAX_SYMNAME_LEN];

        // Loop through all exported names
        for (SIZE_T j = 0; j < pExportDir->NumberOfNames; j++) 
        {
            if (export_ordinal_table[j] == i)
            {
                UINT32 export_symname_rva = export_nameptr_table[j];
                const char *export_symname = (const char *) MAP(export_symname_rva);
                found_symname = TRUE;

                // Copy export_symname into symname (i.e. using strncat or similar)
            }
        }

        if (!found_symname)
        {
            snprintf(symname, MAX_SYMNAME_LEN, "#%"PRIu32, ordinal);
        }

        // Print symname, ordinal, address
    }
}

在这里，我使用 MAP() 来表示将 RVA 解析为可解除引用的虚拟地址的操作(类似于您使用 ConvertRvaToOffset 所做的操作)。

说明:

导出的所有函数都存在于导出地址表中，但正如您已经指出的那样，只有命名函数存在于导出名称指针表和导出序数表(它们是并行表)中。

导出名称指针表中的条目按词法排序，以便于从导出函数的符号名称快速解析为其“无偏”序数(即导出地址表中的索引)。因此，要走另一条路，找到导出函数的导出名称(如果有)，唯一的解决方案实际上是迭代每个导出名称并尝试匹配 RVA。

但是，导出地址表中的某些条目代表所谓的“转发器 RVA”条目，它将导出重定向到另一个 DLL 模块中的符号(请参阅 PE/COFF 6.3.2)。这些实际上无法以您想要的格式打印，因此我只是在上面的伪代码中针对这种情况添加了一个 //TODO 。

此外，请注意，对于每个导出函数(均按名称导出和仅按序数导出)，该函数的有效符号名称(用于解析导入查找表条目)为 #OrdinalNumber ，其中 OrdinalNumber 替换为实际序号(请参阅 PE/COFF 6.3.2 中转发器 RVA 的描述)，因此将此可能列为 的名称未按名称导出的导出函数。