PE文件得到导入表和导出表代码加注释

主要目的熟悉PE文件

成都创新互联公司专注于网站建设|网站维护|优化|托管以及网络推广，积累了大量的网站设计与制作经验，为许多企业提供了网站定制设计服务，案例作品覆盖成都三轮搅拌车等行业。能根据企业所处的行业与销售的产品，结合品牌形象的塑造，量身设计品质网站。

创建句柄映射pe文件到地址空间创建文件视图得到文件的首地址 PIMAGE

然后对各个结构进行初始化

主要代码

导入表

void GETIMPORT(PVOID PIMAGE)
{
PBYTE PBIMAGE = (PBYTE)PIMAGE;
DWORD IMPORTRAW = 0;
DWORD CNTDLL=0;
DWORD IMPORTRVA = pe.DATA[1].VirtualAddress;
PIMAGE_SECTION_HEADER PIMPORTSEC;
for (int i=0; iNumberOfSections; i++)
{
if (IMPORTRVA>=a[i] && IMPORTRVA<=b[i])
{
IMPORTRAW = IMPORTRVA - pe.SECTION[i].VirtualAddress + pe.SECTION[i].PointerToRawData; //RVA->RAW计算文件偏移
PIMPORTSEC = &pe.SECTION[i]; //记录输入表所在节
}
}
if(!IMPORTRVA)
{
MessageBox(NULL,"IMPORT IS EMOPTY","ERROR",NULL);
return;
}
PIMAGE_IMPORT_DESCRIPTOR IMPORT = PIMAGE_IMPORT_DESCRIPTOR(IMPORTRAW+PBIMAGE); //使用输入表的文件地址
//因为一般OriginalFirstThunk不为0 所以采用这个判断条件其实是不严谨的
//有的程序OriginalFirstThunk是为0的这样的话就采用FIRSTTHUNK来循环遍历在此未考虑为0的情况
//不过也用了FIRSTTHUNK 目的是利用它得到每个函数的 RVA

while (0 != IMPORT->OriginalFirstThunk) //判断dll是否结束
{
LPDWORD THUNK =(LPDWORD) (IMPORT->OriginalFirstThunk - PIMPORTSEC->VirtualAddress

+ PIMPORTSEC- >PointerToRawData+PBIMAGE);
LPDWORD FIRSTTHUNK = (LPDWORD)IMPORT->FirstThunk;

//THUNK 使用OriginalFirstThunk 来遍历每一个 PIMAGE_THUNK_DATA (四个字节大小) 的结构
//FIRSTTHUNK 使用FirstThunk 来遍历每一个 PIMAGE_THUNK_DATA (四个字节大小) 的结构
//在这里使用它找到每个函数的RVA
/*****************************************************************************************************/
//要想得到dll 或者函数的名字都要计算出其在磁盘上的位置方可取出

LPDWORD DLLNAME = (LPDWORD)(IMPORT->Name - PIMPORTSEC->VirtualAddress +

PIMPORTSEC->PointerToRawData + PBIMAGE);
CHAR NAMEBUF[20];
sprintf(NAMEBUF,"%s",DLLNAME);
DWORD NAMEBUFFER = strlen(NAMEBUF);
DWORD STYLE;
WriteFile(IMPORTHANDLE,"\r\n",2,&STYLE,NULL);
WriteFile(IMPORTHANDLE,NAMEBUF,NAMEBUFFER,&NAMEBUFFER,NULL);
WriteFile(IMPORTHANDLE,"\r\n",2,&NAMEBUFFER,NULL);
WriteFile(IMPORTHANDLE,"\r\n",2,&NAMEBUFFER,NULL);

/* 这段代码是得到每个引入的dll的名字并且在循环输出函数索引和名字之前输出此函数所在的这个dll名字*/
/*****************************************************************************************************/
//THUNK指针保存的值是OriginalFirstThunk指向的PIMAGE_THUNK_DATA结构即这是判断函数是否结束
// *THUNK就是 PIMAGE_THUNK_DATA (四个字节大小) 结构的内容
// 此内容是一个RVA 指向PIMAGE_IMPORT_BY_NAME 转换成 RAW后所保存的内容就是函数名字和索引

while(*THUNK)
{
if (*THUNK & IMAGE_ORDINAL_FLAG32) //最高位是1 是序号引入
{
DWORD index = (*THUNK & 0x7fffffff);
CHAR BUFFER[20];
DWORD REALBUFFER;
sprintf(BUFFER,"0x%x",index);
WriteFile(IMPORTHANDLE,BUFFER,4,&REALBUFFER,NULL);
WriteFile(IMPORTHANDLE,"\r",2,&REALBUFFER,NULL);

CHAR FRISTTHUNK[20];
sprintf(FRISTTHUNK,"0x%x",FIRSTTHUNK);
WriteFile(IMPORTHANDLE,FRISTTHUNK,8,&REALBUFFER,NULL);
WriteFile(IMPORTHANDLE,"\r\n",2,&REALBUFFER,NULL);
}
else
{
/*
计算得到 PIMAGE_IMPORT_BY_NAME 结构的磁盘位置
*THUNK就是 PIMAGE_THUNK_DATA (四个字节大小) 结构的内容
此内容是一个RVA 指向PIMAGE_IMPORT_BY_NAME 结构将其转换成 RAW后所保存的内容就是索引和函数名字
FIRSTTHUNK 此时也是PIMAGE_THUNK_DATA的内容
当加载到内存后才会被换成函数的真实地址所以在这里只是取出 FIRSTTHUNK 的值即一个RVA
因为此时 *FIRSTTHUNK 的内容跟 *THUNK 是一模一样的
*/

PIMAGE_IMPORT_BY_NAME NAME = PIMAGE_IMPORT_BY_NAME(*THUNK - PIMPORTSEC->VirtualAddress

+ PIMPORTSEC->PointerToRawData + PBIMAGE);
/*********************************************************************************************************************/
// 输出 PIMAGE_IMPORT_BY_NAME 结构中的HINT

CHAR BUFFER[10];
DWORD REALBUFFER;
sprintf(BUFFER,"0x%x",NAME->Hint);
WriteFile(IMPORTHANDLE,BUFFER,5,&REALBUFFER,NULL);
WriteFile(IMPORTHANDLE,"\r",2,&REALBUFFER,NULL);

/*********************************************************************************************************************/
//输出 PIMAGE_IMPORT_BY_NAME 结构中的NAME

CHAR BUF[30];
DWORD LEN ;
sprintf(BUF,"%s",NAME->Name);
LEN=strlen(BUF)+1;
WriteFile(IMPORTHANDLE,NAME->Name,LEN,&REALBUFFER,NULL);

/*********************************************************************************************************************/
//输出 PIMAGE_THUNK_DATA 结构的内容即指向 PIMAGE_IMPORT_BY_NAME 结构的RVA

CHAR THUNKBUF[20];
sprintf(THUNKBUF,"0x%x",*THUNK);
WriteFile(IMPORTHANDLE,THUNKBUF,8,&REALBUFFER,NULL);
WriteFile(IMPORTHANDLE,"\r",2,&REALBUFFER,NULL);

/*********************************************************************************************************************/
//输出 FRISTTHUNK 的值即一个当pe加载时指向引入函数真实地址的 RVA 初始值为 IMPORT->FirstThunk; 指针加1即可

CHAR FRISTTHUNK[20];
sprintf(FRISTTHUNK,"0x%x",FIRSTTHUNK);
WriteFile(IMPORTHANDLE,FRISTTHUNK,6,&REALBUFFER,NULL);
WriteFile(IMPORTHANDLE,"\r\n",2,&REALBUFFER,NULL);

/*********************************************************************************************************************/
}

THUNK++; // 指针加1 也就是跳过一个 PIMAGE_THUNK_DATA 结构扫描下一个函数
FIRSTTHUNK++; //获得每个引入函数的RVA
}
IMPORT++;//扫描下一个dll
CNTDLL++; //记录dll个数
}
}

导出表

void GETEXPORT(PVOID PIMAGE)
{
PBYTE PBIMAGE = (PBYTE)PIMAGE;
DWORD EXPORTRVA = pe.DATA[0].VirtualAddress;
PIMAGE_SECTION_HEADER EXPORTSECT;
PIMAGE_EXPORT_DIRECTORY EXPORT;
DWORD EXPORTRAW;
for(int i=0; iNumberOfSections; i++)
{
if (EXPORTRVA>=a[i] && EXPORTRVA<=b[i])
{
EXPORTRAW = EXPORTRVA - pe.SECTION[i].VirtualAddress + pe.SECTION[i].PointerToRawData; //RVA->RAW
EXPORTSECT = &pe.SECTION[i];
}

}
EXPORT = PIMAGE_EXPORT_DIRECTORY(EXPORTRAW+PBIMAGE); //使用输出表的文件地址

if(!EXPORTRVA)
{
MessageBox(NULL,"EXPORT IS EMOPTY","ERROR",NULL);
return;

}

printf("Base = 0x%x\n",EXPORT->Base);
printf("NumberOfFunctions = 0x%x\n",EXPORT->NumberOfFunctions);
printf("NumberOfNames = 0x%x\n",EXPORT->NumberOfNames);
printf("AddressOfFunctions = 0x%x\n",EXPORT->AddressOfFunctions);
printf("AddressOfNameOrdinals = 0x%x\n",EXPORT->AddressOfNameOrdinals);
printf("AddressOfNames = 0x%x\n",EXPORT->AddressOfNames);
DWORD DLLNAME = (DWORD)(EXPORT->Name - EXPORTSECT->VirtualAddress + EXPORTSECT->PointerToRawData + PBIMAGE);
//输出名字之前必须得到名字RVA 的RAW 并加上文件首地址得到文件地址
printf("Name = %s\n",DLLNAME);

LPDWORD NAMEADDRESS = (LPDWORD)(EXPORT->AddressOfNames - EXPORTSECT->VirtualAddress + EXPORTSECT->PointerToRawData + PBIMAGE);
LPWORD ADDNAMEORD = (LPWORD)(EXPORT->AddressOfNameOrdinals - EXPORTSECT->VirtualAddress + EXPORTSECT->PointerToRawData + PBIMAGE);
LPDWORD FUNCTIONADDRESS = (LPDWORD)(EXPORT->AddressOfFunctions - EXPORTSECT->VirtualAddress + EXPORTSECT->PointerToRawData + PBIMAGE);

for(DWORD j=0; jNumberOfNames; j++)

{
// 计算名字所在的文件地址通过两步找到的 RVA -> RAW(名字的RVA2) RVA2->RAW2(名字)
PDWORD NAME = (PDWORD)(*NAMEADDRESS - EXPORTSECT->VirtualAddress + EXPORTSECT->PointerToRawData + PBIMAGE);

/*********************************************************************************************************************/
/**********************函数的名字得到其文件地址很重要********************************************************/
DWORD BUF;
CHAR NAMEBUF[50];
DWORD LEN;
sprintf(NAMEBUF,"%s",NAME);
LEN=strlen(NAMEBUF);
WriteFile(EXPORTHANDLE,NAME,LEN,&BUF,NULL);
WriteFile(EXPORTHANDLE,"\r",2,&BUF,NULL);
WriteFile(EXPORTHANDLE,"\r",2,&BUF,NULL);
/*********************************************************************************************************************/
/**********************索引号一步可以得到其内容**************************************************************/
sprintf(NAMEBUF,"0x%04x",*ADDNAMEORD+1);
WriteFile(EXPORTHANDLE,NAMEBUF,6,&BUF,NULL);
WriteFile(EXPORTHANDLE,"\r",2,&BUF,NULL);
WriteFile(EXPORTHANDLE,"\r",2,&BUF,NULL);
/*********************************************************************************************************************/
/**********************函数的RVA 类似于索引号的求法**********************************************************************/

sprintf(NAMEBUF,"0x%08x",*FUNCTIONADDRESS);
WriteFile(EXPORTHANDLE,NAMEBUF,10,&BUF,NULL);
WriteFile(EXPORTHANDLE,"\r\n",2,&BUF,NULL);

/*********************************************************************************************************************/

NAMEADDRESS++;
ADDNAMEORD++;
FUNCTIONADDRESS++;

}

结束。

标题名称：PE文件得到导入表和导出表代码加注释
文章转载：http://azwzsj.com/article/psocoo.html

PE文件得到导入表和导出表代码加注释

其他资讯