PE 导出表

冷不防 2022-08-26 13:22 229阅读 0赞

当PE 文件被执行的时候，Windows 加载器将文件装入内存并将导入表(Export Table) 登记的动态链接库(一般是DLL 格式)文件一并装入地址空间，再根据DLL 文件中的函数导出信息对被执行文件的IAT 进行修正。  
导出表就是记载着动态链接库的一些导出信息。通过导出表，DLL 文件可以向系统提供导出函数的名称、序号和入口地址等信息，比便Windows 加载器通过这些信息来完成动态连接的整个过程。  
  
注意：扩展名为.exe 的PE 文件中一般不存在导出表，而大部分的.dll 文件中都包含导出表。但注意，这并不是绝对的。例如纯粹用作资源的.dll 文件就不需要导出函数啦，另外有些特殊功能的.exe 文件也会存在导出函数。  
  
导出表结构  
导出表（Export Table）中的主要成分是一个表格，内含函数名称、输出序数等。序数是指定DLL 中某个函数的16位数字，在所指向的DLL 文件中是独一无二的。在此我们不提倡仅仅通过序数来索引函数的方法，这样会给DLL 文件的维护带来问题。例如当DLL 文件一旦升级或修改就可能导致调用改DLL 的程序无法加载到需要的函数。  
  
数据目录表的第一个成员指向导出表，是一个IMAGE\_EXPORT\_DIRECTORY(以后简称IED)结构，IED 结构的定义如下：

IMAGE_EXPORT_DIRECTORY STRUCT【导出表，共40字节】
    {
    +00 h DWORD Characteristics ; 未使用，总是定义为0
    +04 h DWORD TimeDateStamp ; 文件生成时间
    +08 h WORD MajorVersion     ; 未使用，总是定义为0
    +0A h WORD MinorVersion ; 未使用，总是定义为0
    +0C h DWORD Name     ; 模块的真实名称
    +10 h DWORD Base     ; 基数，加上序数就是函数地址数组的索引值
    +14 h DWORD NumberOfFunctions ; 导出函数的总数
    +18 h DWORD NumberOfNames ; 以名称方式导出的函数的总数
    +1C h DWORD AddressOfFunctions ; 指向输出函数地址的RVA
    +20 h DWORD AddressOfNames ; 指向输出函数名字的RVA
    +24 h DWORD AddressOfNameOrdinals ; 指向输出函数序号的RVA
    };IMAGE_EXPORT_DIRECTORY ENDS

这个结构中的一些字段并没有被使用，有意义的字段说明如下。  
  
**Name：**  
一个RVA 值，指向一个定义了模块名称的字符串。如即使Kernel32.dll 文件被改名为"Ker.dll"，仍然可以从这个字符串中的值得知其在编译时的文件名是"Kernel32.dll"。  
  
**NumberOfFunctions：**  
文件中包含的导出函数的总数。  
  
**NumberOfNames：**  
被定义函数名称的导出函数的总数，显然只有这个数量的函数既可以用函数名方式导出。也可以用序号方式导出，剩下 的NumberOfFunctions 减去NumberOfNames 数量的函数只能用序号方式导出。该字段的值只会小于或者等于 NumberOfFunctions 字段的值，如果这个值是0，表示所有的函数都是以序号方式导出的。  
  
**AddressOfFunctions：**  
一个RVA 值，指向包含全部导出函数入口地址的双字数组。数组中的每一项是一个RVA 值，数组的项数等于NumberOfFunctions 字段的值。  
Base：导出函数序号的起始值，将AddressOfFunctions 字段指向的入口地址表的索引号加上这个起始值就是对应函数的导出 序号。假如Base 字段的值为x，那么入口地址表指定的第1个导出函数的序号就是x；第2个导出函数的序号就是x＋1。总之，一个导出函数的导出序号等 于Base 字段的值加上其在入口地址表中的位置索引值。  
  
**AddressOfNames 和 AddressOfNameOrdinals：**  
均为RVA 值。前者指向函数名字符串地址表。这个地址表是一个双字数组，数组中的每一项指向一个函数名称字符串的RVA。数组的项数等于NumberOfNames 字段的值，所有有名称的导出函数的名称字符串都定义在这个表中；后者指向另一个word 类型的数组（注意不是双字数组）。数组项目与文件名地址表中的项目一一对应，项目值代表函数入口地址表的索引，这样函 数名称与函数入口地址关联起来。  
  
整个流程跟其他PE 结构图：  
![30160144-5a9c96cc28ab4d408bc754099792f3df.jpg][]  
  
  
**1. 从序号查找函数入口地址**  
大家来模拟一下Windows 装载器查找导出函数入口地址的整个过程。如果已知函数的导出序号，如何得到函数的入口地址呢 ?  
  
**Windows 装载器的工作步骤如下：**  
定位到PE 文件头   
从PE 文件头中的 IMAGE\_OPTIONAL\_HEADER32 结构中取出数据目录表，并从第一个数据目录中得到导出表的RVA   
从导出表的 Base 字段得到起始序号   
将需要查找的导出序号减去起始序号，得到函数在入口地址表中的索引   
检测索引值是否大于导出表的 NumberOfFunctions 字段的值，如果大于后者的话，说明输入的序号是无效的   
用这个索引值在 AddressOfFunctions 字段指向的导出函数入口地址表中取出相应的项目，这就是函数入口地址的RVA 值，当函数被装入内存的时候，这个RVA 值加上模块实际装入的基地址，就得到了函数真正的入口地址   
  
  
**2. 从函数名称查找入口地址**  
如果已知函数的名称，如何得到函数的入口地址呢？与使用序号来获取入口地址相比，这个过程要相对复杂一点！  
  
**Windows 装载器的工作步骤如下：**  
最初的步骤是一样的，那就是首先得到导出表的地址   
从导出表的 NumberOfNames 字段得到已命名函数的总数，并以这个数字作为循环的次数来构造一个循环   
从 AddressOfNames 字段指向得到的函数名称地址表的第一项开始，在循环中将每一项定义的函数名与要查找的函数名相比较，如果没有任何一个函数名是符合的，表示文件中没有指定名称的函数   
如果某一项定义的函数名与要查找的函数名符合，那么记下这个函数名在字符串地址表中的索引值，然后在 AddressOfNamesOrdinals 指向的数组中以同样的索引值取出数组项的值，我们这里假设这个值是x   
最后，以 x 值作为索引值，在 AddressOfFunctions 字段指向的函数入口地址表中获取的 RVA 就是函数的入口地址

[30160144-5a9c96cc28ab4d408bc754099792f3df.jpg]: /images/20220824/d2b407603e834e3aba11ba362925a738.png