AI 助理
备案控制台
开发者社区 开发与运维 文章 正文

PE导出表，C语言打印导出表信息【滴水逆向三期49笔记＋作业】（下）

2023-06-19 159
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： PE导出表，C语言打印导出表信息【滴水逆向三期49笔记＋作业】
3.函数名称表

如何找到函数名称表：

通过导出表的AddressOfNames字段，同样如果要在FileBuffer中找到，需要将其转化为FOA。

我们来看看函数名称表：

我们可以看到：在函数名称表中存储的还是地址，那么这个地址又指向哪里呢？

函数地址表中的元素为该存储函数名称的地址。

需要注意的是，在函数名称表中，函数是按照函数名称排序的，也就是说以A开头的函数排列在最前面，以Z开头的函数排列在后面，但是在文件中，并不一定是以A开头的函数在以Z开头的函数前面，有可能在文件中，某个函数名称以B开头的函数存储在函数名称以A开头的函数前面

在函数导出序号表中，函数的排列方式与函数名称表中的一致：比如某个函数名称以A开头的函数存储在函数地址表中第一个，那么在函数导出序号表中，该函数的导出序号也存储在第一个。

我们给出图来加深对导出表的理解：

四.如何通过函数名称找到函数地址

这里我们给出思路，代码放在后面：

1.通过遍历函数名称表，找到该函数名称下标

2.通过该下标在函数导出序号表中找到该函数到处序号

3.通过该函数导出序号在函数地址表中找到该函数地址

五.如何通过函数导出序号找到函数地址

这个就比较简单了，通过函数导出序号，减去Base，通过这个值在函数地址表中找到该函数地址

六.课程作业

1.编写程序打印导出表信息

2.通过函数名称找到函数地址 GetAddressOfFunctionByName

3.通过函数导出序号找到函数地址 GetAddressOfFunctionByOrdinal

课程作业源码

在这里我给出我自己写的程序源码，大家自行理解：

函数文件：Function.h

/**************************************************************/ 
//*********************自编PE函数库****************************/
/********1.打开文件函数(将文件二进制读取到FileBuffer) *******/
/*函数说明：
该函数需要一个char类型的指针，指向想要打开的文件路径
该函数返回一个char类型的指针，指向FileBuffer
该函数完成文件的打开，并且将文件的二进制读取到FIleBuffer
该函数读取完成后会将文件关闭，避免出现误操作
该函数会通过移动文件指针获取文件大小
获取的文件大小用于动态申请内存 
该函数会动态申请内存，用于存放FileBuffer
*/ 
char* ReadToFileBuffer(char* filename){
  FILE* fp;
  char* FileBuffer=NULL;
  int length;
  if((fp=fopen(filename,"rb"))==NULL){
    printf("%s打开失败！",filename);
    exit(0);
  }else{
    printf("文件打开成功，正在计算文件大小...\n");
  }
  fseek(fp,0,SEEK_END);
  length=ftell(fp);
  fseek(fp,0,SEEK_SET);
  printf("文件大小：%d字节\n正在申请FileBuffer内存...\n",length);
  FileBuffer=(char*)malloc(length);
  if(FileBuffer!=NULL){
    printf("FileBuffer内存申请成功。准备向FileBuffer写入数据...\n");
  }
  if((fread(FileBuffer,length,1,fp))==0){
    printf("写入数据失败！\n");
    exit(0);
  }else{
    printf("写入数据成功。\n");
  }
  if(fclose(fp)){
    printf("文件关闭失败！\n");
    exit(0);
  }else{
    printf("文件关闭成功。\n");
  }
  return FileBuffer;
}
/**********************2.获取PE导出表数据函数********************
该函数需要一个指针，指向FileBuffer
该函数在找到导出表之前，需要定义DOS结构指针，标准PE头结构指针和可选PE头指针，以方便找到导出表
该函数会在控制台输出函数地址表，函数名称表和函数导出序号表 */
void ShowExportDirectory(char* FileBuffer){
  IMAGE_DOS_HEADER* pDosHeader=NULL;
  IMAGE_FILE_HEADER* pFileHeader=NULL;
  IMAGE_OPTIONAL_HEADER32* pOptionalHeader=NULL;
  IMAGE_EXPORT_DIRECTORY* pExportDirectory=NULL;
  pDosHeader=(IMAGE_DOS_HEADER*)FileBuffer;
  if(*((PDWORD)((DWORD)FileBuffer + pDosHeader->e_lfanew))!= IMAGE_NT_SIGNATURE){
    printf("不是有效的PE标志！\n");
  }else{
    printf("检测到有效的PE标志。\n");
  }
  pFileHeader=(IMAGE_FILE_HEADER*)(FileBuffer+pDosHeader->e_lfanew+4);
  pOptionalHeader=(IMAGE_OPTIONAL_HEADER32*)((DWORD)pFileHeader+20);
  pExportDirectory = (IMAGE_EXPORT_DIRECTORY*)(FileBuffer+RVAToFOA(FileBuffer,pOptionalHeader->DataDirectory[0].VirtualAddress));
  printf("导出表RVA:%x\n",pOptionalHeader->DataDirectory[0].VirtualAddress);
  printf("导出表大小:%x字节\n",pOptionalHeader->DataDirectory[0].Size);
  printf("导出表FOA：%d\n",RVAToFOA(FileBuffer,pOptionalHeader->DataDirectory[0].VirtualAddress));
  printf("*******************************导出表*********************************\n");
  printf("TimeDataStamp(经加密):%d\n",pExportDirectory->TimeDateStamp);
  printf("Name(导出表文件名字符串):%s\n",FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->Name));
  printf("Base(函数起始序号)：%d\n",pExportDirectory->Base);
  printf("NumberOfFunction(导出函数总数):%d\n",pExportDirectory->NumberOfFunctions);
  printf("NumberOfNames(以名称导出函数的总数)：%d\n",pExportDirectory->NumberOfNames);
  printf("*****************************函数地址表********************************\n");
  int i=0;
  char* AddressOfFunction;
  AddressOfFunction=(char*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfFunctions));
  for(i=0;i<pExportDirectory->NumberOfFunctions;i++){
    printf("下标：%d     函数地址：0x%x\n",i,*(PWORD)((DWORD)AddressOfFunction+i*4));
  }
  printf("*****************************函数名称表********************************\n");
  int* AddressOfNames=NULL;
  char* name=NULL;
  AddressOfNames=(int*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfNames));
  for(i=0;i<pExportDirectory->NumberOfNames;i++){
    name=(char*)(FileBuffer+RVAToFOA(FileBuffer,*AddressOfNames));
    printf("下标：%d     函数名称：%s\n",i,name);
    AddressOfNames++;
  }
  printf("*******************************函数序号表*******************************\n");
  char *AddressOfNameOrdinals=NULL;
  char *Ordinal=NULL;
  AddressOfNameOrdinals=(int*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfNameOrdinals));
  for(i=0;i<pExportDirectory->NumberOfNames;i++){
    Ordinal=(int*)(FileBuffer+RVAToFOA(FileBuffer,*AddressOfNameOrdinals));
    printf("下标：%d      函数序号(加Base)：%d\n",i,*(AddressOfNameOrdinals+i*2)+pExportDirectory->Base);
  } 
}
/***********************3.RVA转换为FOA函数*************************
该函数需要一个指针，指向FileBuffer
该函数需要一个整数，为要转换的RVA
该函数返回一个整数，为转换后的FOA地址*/ 
int RVAToFOA(IN LPVOID pFileBuffer, IN DWORD dwRva)
{
  PIMAGE_DOS_HEADER pDosHeader = NULL;
  PIMAGE_FILE_HEADER pFileHeader = NULL;
  PIMAGE_OPTIONAL_HEADER32 pOptionalHeader = NULL;
  PIMAGE_SECTION_HEADER pSectionHeader = NULL;
  PIMAGE_SECTION_HEADER pNextSectionHeader = NULL;
  //DOS头
  pDosHeader = (PIMAGE_DOS_HEADER)pFileBuffer;  // 强转 DOS_HEADER 结构体指针
  //PE头
  pFileHeader = (PIMAGE_FILE_HEADER)((DWORD)pFileBuffer + pDosHeader->e_lfanew + 4);  //NT头地址 + 4 为 FileHeader 首址
  //可选PE头 
  pOptionalHeader = (PIMAGE_OPTIONAL_HEADER32)((DWORD)pFileHeader + IMAGE_SIZEOF_FILE_HEADER);//SIZEOF_FILE_HEADER为固定值且不存在于PE文件字段中
  if (dwRva < pOptionalHeader->SizeOfHeaders) //偏移小于头的大小，内存偏移则为文件偏移
  {
    return dwRva;
  }
    //首个节表
  pSectionHeader = (PIMAGE_SECTION_HEADER)((DWORD)pOptionalHeader + pFileHeader->SizeOfOptionalHeader);
  //下一个节表
  pNextSectionHeader = pSectionHeader + 1;
  //循环遍历节表
  int i;
  for (i = 1; i < pFileHeader->NumberOfSections; i++, pSectionHeader++, pNextSectionHeader++)//注意这里i从1开始 i < NumberOfSections
  { //注意这里的pSectionHeader已经是加了基址的，不是偏移， 是绝对地址。而dwRva是偏移地址
    if (dwRva >= pSectionHeader->VirtualAddress && dwRva < pNextSectionHeader->VirtualAddress)//大于当前节的内存偏移而小于下一节的内存偏移
    { //则dwRva属于当前节，则dwRva - VirtualAddress为dwRva基于当前节的偏移。此偏移加上当前节的文件起始偏移地址 则为dwRva在文件中的偏移
      DWORD PointerToRawData = pSectionHeader->PointerToRawData;
      DWORD VirtualAddress = pSectionHeader->VirtualAddress;
      DWORD aa = pSectionHeader->PointerToRawData + dwRva - pSectionHeader->VirtualAddress;
      return pSectionHeader->PointerToRawData + dwRva - pSectionHeader->VirtualAddress ;
    }
  } //出循环后pSectionHeader指向最后一个节表
  //大于当前节（最后一节）的内存偏移且小于内存映射大小
  if (dwRva >= pSectionHeader->VirtualAddress && dwRva < pOptionalHeader->SizeOfImage)
  { //同上return
    return pSectionHeader->PointerToRawData + dwRva - pSectionHeader->VirtualAddress;
  }
  else //大于内存映射大小
  {
    printf("dwRva大于内存映射大小\n");
    return -1;
  }
}
/***********************4.根据函数名称查找函数地址函数***********************
该函数需要一个指针，指向要打开的文件路径 
该函数返回一个整数，指向得到的函数地址
*/
void GetAddressOfFunctionByName(char* filename){
  char* FileBuffer=NULL;
  char inname[5];
  int i;
  FileBuffer=ReadToFileBuffer(filename);
  IMAGE_DOS_HEADER* pDosHeader=NULL;
  IMAGE_FILE_HEADER* pFileHeader=NULL;
  IMAGE_OPTIONAL_HEADER32* pOptionalHeader=NULL;
  IMAGE_EXPORT_DIRECTORY* pExportDirectory=NULL;
  pDosHeader=(IMAGE_DOS_HEADER*)FileBuffer;
  if(*(PWORD)((DWORD)FileBuffer+pDosHeader->e_lfanew)==IMAGE_NT_SIGNATURE){
    printf("检测到有效的PE标志。\n");
  }else{
    printf("未检测到有效的PE标志！\n");
    exit(0);
  }
  pFileHeader=(IMAGE_FILE_HEADER*)((DWORD)FileBuffer+pDosHeader->e_lfanew+4);
  pOptionalHeader=(IMAGE_OPTIONAL_HEADER32*)((DWORD)pFileHeader+20);
  pExportDirectory = (IMAGE_EXPORT_DIRECTORY*)(FileBuffer+RVAToFOA(FileBuffer,pOptionalHeader->DataDirectory[0].VirtualAddress));
  int* AddressOfNames=NULL;
  char* name=NULL;
  AddressOfNames=(int*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfNames));
  printf("请输入您需要查找的函数名：");
  scanf("%s",inname);
  printf("正在查找中...\n");
  for(i=0;i<pExportDirectory->NumberOfNames;i++){
  name=(int*)(FileBuffer+RVAToFOA(FileBuffer,RVAToFOA(FileBuffer,*AddressOfNames)));
    if(!(strcmp("Plus",name))){
      printf("下标为%d的函数名符合。\n",i);
      break;
    }
    AddressOfNames++;
  }
  char* Ordinal=NULL;
  Ordinal=(char*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfNameOrdinals)+i*2);
  char* AddressOfFunction=NULL;
  AddressOfFunction=(char*)(FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfFunctions)+*Ordinal*4);
  printf("Ordinal(函数导出序号(未加Base)):%d    AddressOfFunction:0x%x",*Ordinal,*(PWORD)((DWORD)AddressOfFunction));
}
/***********************5.根据函数序号查找函数地址函数***********************
该函数需要一个指针，指向要打开的文件路径 
该函数返回一个整数，指向得到的函数地址
*/
void GetAddressOfFunctionByOrdinal(char* filename){
  char* FileBuffer=NULL;
  int InOrdinal=0;
  IMAGE_DOS_HEADER* pDosHeader=NULL;
  IMAGE_FILE_HEADER* pFileHeader=NULL;
  IMAGE_OPTIONAL_HEADER32* pOptionalHeader=NULL;
  IMAGE_EXPORT_DIRECTORY* pExportDirectory=NULL;
  FileBuffer=ReadToFileBuffer(filename);
  char* AddressOfFunction;
  pDosHeader=(IMAGE_DOS_HEADER*)FileBuffer;
  if(*(PWORD)((DWORD)FileBuffer+pDosHeader->e_lfanew)==IMAGE_NT_SIGNATURE){
    printf("检测到PE标志。");
  }else{
    printf("未检测到PE标志！\n");
    exit(0);
  }
  pFileHeader=(IMAGE_FILE_HEADER*)(FileBuffer+pDosHeader->e_lfanew+4);
  pOptionalHeader=(IMAGE_OPTIONAL_HEADER32*)((DWORD)pFileHeader+20);
  pExportDirectory = (IMAGE_EXPORT_DIRECTORY*)(FileBuffer+RVAToFOA(FileBuffer,pOptionalHeader->DataDirectory[0].VirtualAddress));
  printf("请输入您需要查找的函数导出序号：");
  scanf("%d",&InOrdinal);
  InOrdinal=InOrdinal-pExportDirectory->Base;
  AddressOfFunction=(char*)FileBuffer+RVAToFOA(FileBuffer,pExportDirectory->AddressOfFunctions+InOrdinal*4);
  printf("函数导出序号(未加Base):%d       函数地址：0x%x",InOrdinal,*(PWORD)((DWORD)AddressOfFunction));
}

函数实现：main.c

#include <stdio.h>
#include <windows.h>
#include <string.h>
#include "PEFunction.h"
int main(int argc, char** argv){
  char filename[50];
  printf("请输入文件路径：");
  scanf("%s",filename);
  char* FileBuffer;
  int choose=0;
  printf("*******************************欢迎使用PE导出表自编工具***************************************\n");
  printf("************                                                                      ************\n");
  printf("************                                                                      ************\n");
  printf("************                        请选择您需要的项目:                           ************\n");
  printf("************                        1.导出问价导出表.                             ************\n");
  printf("************                        2.根据函数名称查找函数地址.                   ************\n");
  printf("************                        3.根据函数导出序号查找函数地址.               ************\n");
  printf("************                                                                      ************\n");
  printf("************                                                                      ************\n");
  printf("**********************************************************************************************\n");
  printf("     ----------------------版权所有：https://blog.csdn.net/qq_73985089?spm=1000.2115.3001.5343\n");
  printf("     -----------------------------------------------------------------如需引用，请告知原作者！\n"); 
  printf("请输入您需要的项目：");
  scanf("%d",&choose); 
  switch(choose){
    case 1:{
      FileBuffer=ReadToFileBuffer(filename);
      ShowExportDirectory(FileBuffer);
      break;
    }
    case 2:{
      GetAddressOfFunctionByName(filename);
      break;
    }
    case 3:{
      GetAddressOfFunctionByOrdinal(filename);
      break;
    }
  }
  free(FileBuffer);
  return 0;
}

今天的课程就分享到这里，如果发现文章中有理解错误，还请大家指出来，我会非常虚心地学习，希望我们能一起进步！


文章标签：
C语言
存储
关键词：
C语言信息
C语言笔记
C语言作业
游客got4yp2fez3cw
目录
相关文章
DuckBro
|
7月前
|
程序员 编译器 C语言
C语言库函数 — 错误信息报告函数
C语言库函数 — 错误信息报告函数
DuckBro
72 0
GR鲸鱼
|
7月前
|
算法 程序员 编译器
C语言初阶③（函数）知识点+编程作业（递归模拟strlen，pow）
C语言初阶③（函数）知识点+编程作业（递归模拟strlen，pow）
GR鲸鱼
54 0
百色彭于晏
|
4月前
|
存储 C语言
【c语言】职工信息管理系统 包含读取写入txt文件，职工信息的增删改查
【c语言】职工信息管理系统 包含读取写入txt文件，职工信息的增删改查
百色彭于晏
46 3
米码收割机
|
4月前
|
存储 数据可视化 C语言
【C语言】C语言-学生籍贯信息记录系统（源码+论文）【独一无二】
【C语言】C语言-学生籍贯信息记录系统（源码+论文）【独一无二】
米码收割机
59 2
睡觉待开机
|
4月前
|
测试技术 C语言 C++
【C语言刷题训练——6】鹏哥C语言刷题训练营笔记，含代码讲解改进
【C语言刷题训练——6】鹏哥C语言刷题训练营笔记，含代码讲解改进
睡觉待开机
57 0
睡觉待开机
|
4月前
|
存储 C语言
【C语言】鹏哥C语言刷题训练营——第5节内容笔记（含代码全面分析和改进，讲解）
【C语言】鹏哥C语言刷题训练营——第5节内容笔记（含代码全面分析和改进，讲解）
睡觉待开机
72 0
游客n5wu27bgadceq
|
6月前
|
C语言
学习C语言代码笔记
C语言学习代码
游客n5wu27bgadceq
31 0
游客n5wu27bgadceq
|
6月前
|
C语言
C语言学习代码笔记分享
C语言学习代码
游客n5wu27bgadceq
28 0
GR鲸鱼
|
7月前
|
存储 Linux C语言
C语言初阶⑥（操作符详解）编程作业（算数转换）（下）
C语言初阶⑥（操作符详解）编程作业（算数转换）
GR鲸鱼
39 1
GR鲸鱼
|
7月前
|
存储 C语言
C语言初阶④（数组）知识点+编程作业（三子棋，冒泡排序）（下）
C语言初阶④（数组）知识点+编程作业（三子棋，冒泡排序）
GR鲸鱼
43 1