读取PE文件的导出表

　　　　再顺便多写一篇PE文件的文章吧，这一篇文章介绍PE文件的导出表。导出表相对来说应该算最简单的，它的关键结构只有一个。本质上导出表的dir只是指示以下信息，dll的名称地址（ANSI字符串），有多少个导出函数，对导出函数有三个数组，分别是序号数组，函数名称（ANSI字符串）地址数组，函数入口地址（RVA）数组。导入表导出表可以说是直接和动态链接技术相关的 DataDirectory 了。

 

　　　　首先还是介绍导出表的唯一一个数据结构（仅列出比较关键的成员）：

 

　　　　（1）IMAGE_EXPORT_DIRECTORY：

 

　　　　（1.1）DWORD   Name; 这个DLL名称（ANSI）字符串的地址（RVA）。

　　　　（1.2）DWORD   Base; 序号数组的计数起始值。（序号数组中的数值加上Base为最终的导出函数序号）

　　　　（1.3）DWORD   NumberOfFunctions; 导出函数个数。

　　　　（1.4）DWORD   NumberOfNames; 函数名个数。这个值通常应该和 NumberOfFunctions 相同（即所有导出函数都应该有一个名称）。

　　　　（1.5）DWORD   AddressOfFunctions; 函数地址RVA的数组。

　　　　（1.6）DWORD   AddressOfNames; 存储函数名称（ANSI）字符串的地址（RVA）的数组的地址（RVA）。

　　　　（1.7）DWORD   AddressOfNameOrdinals; 存储函数序号的数组的地址（RVA）。

 

　　　　按照惯例，下面是导出表的结构示意图：

 

　　　　

 

　　　　下面是读取导入表的代码，由于我的项目属性中使用的是unicode字符串，所以我在使用那些ANSI字符串之前，需要做一次到unicode的转换：

 

//加载导出表
void CPERcViewDlg::LoadExportTable(LPBYTE lpBaseAddress, PIMAGE_NT_HEADERS pNtHeaders, DWORD rva)
{
    int i;
    TCHAR wcsBuffer[256], nodeText[256];

    HTREEITEM hItem_Export = NULL;

    PIMAGE_EXPORT_DIRECTORY pExportTable = (PIMAGE_EXPORT_DIRECTORY)ImageRvaToVa(
        pNtHeaders, 
        lpBaseAddress, 
        rva,
        NULL
        );

    _stprintf(nodeText, _T("ExportTable (FileAddress: %08X)"), (DWORD)pExportTable - (DWORD)lpBaseAddress);
    hItem_Export = m_tree.InsertItem(nodeText, TVI_ROOT, TVI_LAST);

    //dll名称（char*）
    LPCSTR szDllName = (LPCSTR)ImageRvaToVa(
        pNtHeaders, lpBaseAddress,
        pExportTable->Name,
        NULL);

    //把ANSI的名称转换到unicode
    ::MultiByteToWideChar(CP_ACP, MB_PRECOMPOSED, szDllName, -1, nodeText, sizeof(nodeText)/sizeof(TCHAR));

    //append dll name node
    HTREEITEM hDllName = m_tree.InsertItem(nodeText, hItem_Export, TVI_LAST);

    //现在加载每个节点
    DWORD ImageBase = pNtHeaders->OptionalHeader.ImageBase;

    //以下全部是RVA。换算到数组入口处的VA：
    PDWORD pFunctions = (PDWORD)ImageRvaToVa(
        pNtHeaders, lpBaseAddress,
        pExportTable->AddressOfFunctions,
        NULL);

    PWORD pOrdinals = (PWORD)ImageRvaToVa(
        pNtHeaders, lpBaseAddress,
        pExportTable->AddressOfNameOrdinals,
        NULL);

    BOOL hasNames = (pExportTable->AddressOfNames != 0);

    PDWORD pNames = NULL;
    
    if(hasNames)
    {
        pNames = (PDWORD)ImageRvaToVa(
            pNtHeaders, lpBaseAddress,
            pExportTable->AddressOfNames,
            NULL);
    }

    for(i=0; i<pExportTable->NumberOfFunctions; i++)
    {
        //函数名称
        if(hasNames)
        {
            LPCSTR szFuncName = (LPCSTR)ImageRvaToVa(
                pNtHeaders, lpBaseAddress,
                pNames[i],
                NULL);

            //转换成unicode
            ::MultiByteToWideChar(CP_ACP, MB_PRECOMPOSED, szFuncName, -1, wcsBuffer, sizeof(wcsBuffer)/sizeof(TCHAR));
        }

        _stprintf(nodeText, _T("Ordinal: %ld %s, VA: %08X"),
            pExportTable->Base + pOrdinals[i],
            hasNames? wcsBuffer : _T("(null)"),
            ImageBase + pFunctions[i]
            );
        
        m_tree.InsertItem(nodeText, hDllName, TVI_LAST);
    }
}

 

 

　　　　最后导出函数加载到 TreeCtrl 的效果如下：

 

　　　　

 

　　　　【补充内容】关于pragma：

 

　　　　（1）指定内容在 obj 文件中所在的段，具体用法参考MSDN（不太常用），以下分别是代码（函数），初始化数据，未初始化数据，常量：

　　　　#pragma code_seg( [ [ { push | pop}, ] [ identifier, ] ] [ "segment-name" [, "segment-class" ] )

　　　　#pragma data_seg( [ [ { push | pop }, ] [ identifier, ] ] [ "segment-name" [, "segment-class" ] )

 　　　 #pragma bss_seg( [ [ { push | pop }, ] [ identifier, ] ] [ "segment-name" [, "segment-class" ] )

　　　　#pragma const_seg( [ [ { push | pop}, ] [ identifier, ] ] [ "segment-name" [, "segment-class" ] )

　　　　（2）在某个obj文件中指定一个在链接时需要搜索的库（比较常用）：

　　　　#pragma comment( lib, "emapi" )

 

　　　　【参考资料】

　　　　（1）看雪论坛精华8；

　　　　（2）winnt.h；