PE文件的导出表和导入表

导出表

一个loader怎么找到DLL文件的导出函数的地址呢？

首先定位dll文件的PE文件结构，然后找到导出表的位置

typedef struct _IMAGE_EXPORT_DIRECTORY {
    DWORD   Characteristics;    // 不重要
    DWORD   TimeDateStamp;      //时间戳.  编译的时间. 把秒转为时间.可以知道这个DLL是什么时候编译出来的.
    WORD    MajorVersion;
    WORD    MinorVersion;
    DWORD   Name;　　　　　　　　　　　//指向该导出表文件名的字符串,也就是这个DLL的名称  辅助信息.修改不影响  存储的RVA 如果想在文件中查看.自己计算一下FOA即可.
    DWORD   Base; 　　　　　　　　　　// 导出函数的起始序号
    DWORD   NumberOfFunctions;     //所有的导出函数的个数
    DWORD   NumberOfNames;         //以名字导出的函数的个数
    DWORD   AddressOfFunctions;     // 导出的函数地址的地址表RVA  也就是 函数地址表  
    DWORD   AddressOfNames;         // 导出的函数名称表的RVA      也就是 函数名称表
    DWORD   AddressOfNameOrdinals;  // 导出函数序号表的RVA         也就是 函数序号表
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

目前就知道最后三个AddressOfFunctions，AddressOfNames，AddressOfNameOrdinals指向的是什么就行

dll导出函数可以两种方式，名称导出或者序号导出

如果是函数名，loader就会先依次匹配AddressNames里的函数名，如果有，再到AddressOfNameOrdinals里找到对应的序号，再拿着序号去AddressOfFunctions里找到对应的函数

如果是序号，loader先找到Base，然后计算出真正的序号，直接找到AddressOfFunctions里的对应的函数

demo

可以去0x090068的位置找到Name字段

可以看到里面的数据都是对的上的

AddressOfNameOrdinals

里面有地址特别高的函数地址，这些函数是引用外部dll的函数，在 .rdata 段而不是其他低地址在.text段，PE文件在识别的时候是检查这个地址是否在Export Directory的范围内，如果是，那么这个函数就是字符串而不是真正的代码

用cmd也能看

1	dumpbin /exports C:\Windows\System32\kernel32.dll

导入表

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
    union {
        DWORD   Characteristics;            // 0 for terminating null import descriptor
        DWORD   OriginalFirstThunk;         // RVA of Import Lookup table
    } DUMMYUNIONNAME;
    DWORD   TimeDateStamp;                  // 时间戳.
    DWORD   ForwarderChain;                 // -1 if no forwarders
    DWORD   Name;　　　　　　　　　　　　　　　　//指向DLL名字的 RVA
    DWORD   FirstThunk;                     // RVA to Import Address table
} IMAGE_IMPORT_DESCRIPTOR;
typedef IMAGE_IMPORT_DESCRIPTOR UNALIGNED *PIMAGE_IMPORT_DESCRIPTOR;

PE loader 会解析IAT表，找到 IMAGE_IMPORT_DESCRIPTOR[] 数组

只关心三个，OriginalFirstThunk ，指向了Import Lookup table；FirstThunk ，指向了 Import Address table ；Name ，指向了DLL的名字

如图，Import Lookup table 和 Import Address table 都存着Hint/Name Table的RVA，Hint/Name Table 存着导入的函数名和序号，其中 Import Address table 会在PE文件加载时填充上函数地址

PE loader先找到DLL Name，然后把该DLL文件加载到PE文件的内存空间，然后解析DLL文件的导出表，然后开始解析 Hint/Name Table ，然后取出里面的Hint（也就是函数序号），如果Hint匹配上，就会从导出表里提取出该函数的地址，然后把地址填入Import Address table 里，如果通过序号没找到，就拿着函数名找