PE结构详解(三)

接下来介绍导出表

 

既然有导入表当然有导出表啦，什么是导出表，导出表又有什么用呢？

 

导出表一般存在于DLL文件当中，导出表就是记载着动态链接库的一些导出信息。

通过导出表，DLL 文件可以向系统提供导出函数的名称、序号和入口地址等信息，以便Windows 加载器通过这些信息来完成动态连接的整个过程。

当PE 文件被执行的时候，Windows 加载器将文件装入内存并将导出表(Export Table) 登记的动态链接库(一般是DLL 格式)文件一并装入地址空间，再根据DLL 文件中的函数导出信息对被执行文件的IAT（输入地址表）进行修正。

 

 

导出表结构

 

导出表（Export Table）中的主要成分是一个表格，内含函数名称、输出序数等。

序数是指定DLL 中某个函数的16位数字，在所指向的DLL 文件中是独一无二的。

在此我们不提倡仅仅通过序数来索引函数的方法，这样会给DLL 文件的维护带来问题。

例如当DLL 文件一旦升级或修改就可能导致调用改DLL 的程序无法加载到需要的函数。

 

数据目录表的第一个成员指向导出表，是一个IMAGE_EXPORT_DIRECTORY(以后简称IED)结构，IED 结构的定义如下：

 

IMAGE_EXPORT_DIRECTORY STRUCT
    Characteristics        DWORD    ?    ; 未使用，总是定义为0
    TimeDateStamp        DWORD    ?       ; 文件生成时间
    MajorVersion        WORD    ?    ; 未使用，总是定义为0
    MinorVersion        WORD    ?    ; 未使用，总是定义为0
    Name            DWORD    ?    ; 模块的真实名称
    Base                DWORD    ?    ; 基数，加上序数就是函数地址数组的索引值
    NumberOfFunctions    DWORD    ?    ; 导出函数的总数
    NumberOfNames        DWORD    ?    ; 以名称方式导出的函数的总数
    AddressOfFunctions    DWORD    ?    ; 指向输出函数地址的RVA
    AddressOfNames        DWORD    ?    ; 指向输出函数名字的RVA
    AddressOfNameOrdinals    DWORD    ?    ; 指向输出函数序号的RVA
IMAGE_EXPORT_DIRECTORY ENDS

 

Name：

一个RVA 值，指向一个定义了模块名称的字符串。如即使Kernel32.dll 文件被改名为”Ker.dll”。

仍然可以从这个字符串中的值得知其在编译时的文件名是”Kernel32.dll”。

 

NumberOfFunctions：

文件中包含的导出函数的总数。

 

NumberOfNames：

被定义函数名称的导出函数的总数，显然只有这个数量的函数既可以用函数名方式导出。

也可以用序号方式导出，剩下的NumberOfFunctions 减去NumberOfNames 数量的函数只能用序号方式导出。

该字段的值只会小于或者等于 NumberOfFunctions 字段的值，如果这个值是0，表示所有的函数都是以序号方式导出的。

 

AddressOfFunctions：

一个RVA 值，指向包含全部导出函数入口地址的双字数组。数组中的每一项是一个RVA 值，数组的项数等于NumberOfFunctions 字段的值。

Base：导出函数序号的起始值，将AddressOfFunctions 字段指向的入口地址表的索引号加上这个起始值就是对应函数的导出 序号。

 

假如Base 字段的值为x，那么入口地址表指定的第1个导出函数的序号就是x；第2个导出函数的序号就是x＋1。

总之，一个导出函数的导出序号等 于Base 字段的值加上其在入口地址表中的位置索引值。

 

AddressOfNames 和 AddressOfNameOrdinals：

均为RVA 值。前者指向函数名字符串地址表。

这个地址表是一个双字数组，数组中的每一项指向一个函数名称字符串的RVA。

 

数组的项数等于NumberOfNames 字段的值，所有有名称的导出函数的名称字符串都定义在这个表中；后者指向另一个word 类型的数组（注意不是双字数组）。

数组项目与文件名地址表中的项目一一对应，项目值代表函数入口地址表的索引，这样函 数名称与函数入口地址关联起来。

 

（举个例子说，加入函数名称字符串地址表的第n 项指向一个字符串“MyFunction”。

那么可以去查找 AddressOfNameOrdinals 指向的数组的第n 项，假如第n 项中存放的值是x，则表示AddressOfFunctions 字段描述的地址表中的第x 项函数入口地址对应的名称就是“MyFunction”复杂吧?

没事，接着看你就懂了，别放弃哦~）

 

整个流程跟其他PE 结构一样说起来复杂，但看图说话倒是挺容易的。所以小甲鱼还是本着实事求是的精神&……%￥#

踏踏实实画图让大家好理解一点吧，来，请上图：

 

 

1. 从序号查找函数入口地址

 

下边小甲鱼带大家来模拟一下Windows 装载器查找导出函数入口地址的整个过程。

如果已知函数的导出序号，如何得到函数的入口地址呢 ?

 

Windows 装载器的工作步骤如下：

 

定位到PE 文件头

从PE 文件头中的 IMAGE_OPTIONAL_HEADER32 结构中取出数据目录表，并从第一个数据目录中得到导出表的RVA

从导出表的 Base 字段得到起始序号

将需要查找的导出序号减去起始序号，得到函数在入口地址表中的索引

检测索引值是否大于导出表的 NumberOfFunctions 字段的值，如果大于后者的话，说明输入的序号是无效的用这个索引值在 AddressOfFunctions 字段指向的导出函数入口地址表中取出相应的项目，这就是函数入口地址的RVA 值，当函数被装入内存的时候，这个RVA 值加上模块实际装入的基地址，就得到了函数真正的入口地址

 

2. 从函数名称查找入口地址

 

如果已知函数的名称，如何得到函数的入口地址呢？与使用序号来获取入口地址相比，这个过程要相对复杂一点！

 

Windows 装载器的工作步骤如下：

 

最初的步骤是一样的，那就是首先得到导出表的地址

从导出表的 NumberOfNames 字段得到已命名函数的总数，并以这个数字作为循环的次数来构造一个循环

从 AddressOfNames 字段指向得到的函数名称地址表的第一项开始，在循环中将每一项定义的函数名与要查找的函数名相比较，如果没有任何一

个函数名是符合的，表示文件中没有指定名称的函数

如果某一项定义的函数名与要查找的函数名符合，那么记下这个函数名在字符串地址表中的索引值，然后在 AddressOfNamesOrdinals 指向的数组中以同样的索引值取出数组项的值，我们这里假设这个值是x

最后，以 x 值作为索引值，在 AddressOfFunctions 字段指向的函数入口地址表中获取的 RVA 就是函数的入口地址

 

一帮情况下病毒程序就是通过函数名称查找入口地址的，因为病毒程序作为一段额外的代码被附加到可执行文件中的。

如果病毒代码中用到某些 API 的话，这些 API 的地址不可能在宿主文件的导出表中为病毒代码准备好。

因此只能通过在内存中动态查找的方法来实现获取API 的地址。