PE导出表

最新推荐文章于 2025-05-07 14:18:55 发布
最新推荐文章于 2025-05-07 14:18:55 发布
阅读量162 收藏
点赞数
文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/m0_63206880/article/details/123921151
版权 

#include <string.h>
#include <stdio.h>
#include <stdlib.h>
#include <iostream>
#include <windows.h>
#pragma   warning(disable:4996) 
#define openll "C:\\Users\\Administrator\\Desktop\\dialer.exe"
LPVOID OpenFile()
{
    DWORD Size = NULL;
    FILE* fp;
    fp = fopen(openll, "rb");
    fseek(fp, 0, SEEK_END);
    Size = ftell(fp);
    fseek(fp, 0, SEEK_SET);
    //申请内存;
    LPVOID ptr = NULL;
    ptr = (LPVOID)malloc(Size);
    if (!ptr)
    {
        printf("申请不成功!");
        free(ptr);
        return 0;
    }
    else
    {
        memset(ptr, 0, Size);
        fread(ptr, Size, 1, fp);
    }
    fclose(fp);
    return ptr;
}
//Rva->Foa
LPVOID Rva(LPVOID filebuffer, DWORD RVA)
{
    //LPVOID IMbuffer = filebuffer;
    PIMAGE_DOS_HEADER pDos = NULL;
    PIMAGE_NT_HEADERS pNT = NULL;
    PIMAGE_FILE_HEADER pFile = NULL;
    PIMAGE_OPTIONAL_HEADER pOption = NULL;
    PIMAGE_SECTION_HEADER pSection = NULL;
    PIMAGE_EXPORT_DIRECTORY pex = NULL;
    //目录
    PIMAGE_DATA_DIRECTORY Data = NULL;
    if (*(PWORD)((DWORD)filebuffer) != IMAGE_DOS_SIGNATURE)
    {
        printf("不是Mz标志");
    }
    pDos = (PIMAGE_DOS_HEADER)(PWORD)((DWORD)filebuffer);
    pNT = (PIMAGE_NT_HEADERS)(PDWORD)((DWORD)filebuffer + pDos->e_lfanew);
    pFile = (PIMAGE_FILE_HEADER)(PWORD)((DWORD)pNT + 4);
    pOption = (PIMAGE_OPTIONAL_HEADER)(PWORD)((DWORD)pFile + IMAGE_SIZEOF_FILE_HEADER);
    pSection = (PIMAGE_SECTION_HEADER)((DWORD)pOption + pFile->SizeOfOptionalHeader);
    Data = (PIMAGE_DATA_DIRECTORY)(PWORD)((DWORD)pOption + 0x60);
    //printf("%x",Data->Size);
    //printf("%x", Data->VirtualAddress);
    PIMAGE_SECTION_HEADER pSectionHreder = pSection;
    //RVA-> FVA 通过VA的内存偏移计算在文件中的位置
    //第一步训循环判断 RVA在哪个节表里 
    for (int i = 0; i < pFile->NumberOfSections; i++, pSectionHreder++)
    {

        if (RVA >= (pSection + i)->VirtualAddress)//判断是否大于 i节表数据 如果大于就进入再次判断是否小于i+1节表
        {
            if (RVA < (pSection + i + 1)->VirtualAddress)
            {
                //printf("%s", (pSection + i)->Name);//打印节信息  并通过RVA == RVA - i节里的virtualaddress +i节文件开始的位置 == 导出表文件偏移位置
                pex = (PIMAGE_EXPORT_DIRECTORY)((DWORD)RVA - (pSection + i)->VirtualAddress + (pSection + i)->PointerToRawData);
            }
        }
    }
    return pex;
}
LPVOID imports()
{
    LPVOID IMbuffer = OpenFile();
    PIMAGE_DOS_HEADER pDos = NULL;
    PIMAGE_NT_HEADERS pNT = NULL;
    PIMAGE_FILE_HEADER pFile = NULL;
    PIMAGE_OPTIONAL_HEADER pOption = NULL;
    PIMAGE_SECTION_HEADER pSection = NULL;
    PIMAGE_EXPORT_DIRECTORY pex = NULL;
    //目录
    PIMAGE_DATA_DIRECTORY Data = NULL;
    if (*(PWORD)((DWORD)IMbuffer) != IMAGE_DOS_SIGNATURE)
    {
        printf("不是Mz标志");
    }
    pDos = (PIMAGE_DOS_HEADER)(PWORD)((DWORD)IMbuffer);
    pNT = (PIMAGE_NT_HEADERS)(PDWORD)((DWORD)IMbuffer+pDos->e_lfanew);
    pFile = (PIMAGE_FILE_HEADER)(PWORD)((DWORD)pNT+4);
    pOption = (PIMAGE_OPTIONAL_HEADER)(PWORD)((DWORD)pFile + IMAGE_SIZEOF_FILE_HEADER);
    pSection = (PIMAGE_SECTION_HEADER)((DWORD)pOption + pFile->SizeOfOptionalHeader);
    Data = (PIMAGE_DATA_DIRECTORY)(PWORD)((DWORD)pOption + 0x60);
    //printf("%x",Data->Size);
    //printf("%x", Data->VirtualAddress);
    PIMAGE_SECTION_HEADER pSectionHreder = pSection;
    //RVA-> FVA 通过VA的内存偏移计算在文件中的位置
    //第一步训循环判断 RVA在哪个节表里 
    for (int i =0;i<pFile->NumberOfSections;i++,pSectionHreder++)
    {
        
        if (Data->VirtualAddress>(pSection+i)->VirtualAddress)//判断是否大于 i节表数据 如果大于就进入再次判断是否小于i+1节表
        {
            if (Data->VirtualAddress < (pSection + i+1)->VirtualAddress)
            {
                //printf("%s", (pSection + i)->Name);//打印节信息  并通过RVA == RVA - i节里的virtualaddress +i节文件开始的位置 == 导出表文件偏移位置
                pex = (PIMAGE_EXPORT_DIRECTORY)((DWORD)IMbuffer+Data->VirtualAddress - (pSection + i)->VirtualAddress + (pSection + i)->PointerToRawData);
            }
        }
    }
    printf("\n%08x\n",pex->Characteristics);
    printf("%08x\n", pex->TimeDateStamp);
    printf("%04x\n", pex->MajorVersion);
    printf("%04x\n", pex->MinorVersion);
    printf("%08x\n", pex->Name);
    printf("Base:       %08x\n", pex->Base);
    printf("NumberOfFunctions:      %08x\n", pex->NumberOfFunctions);
    printf("NumberOfNames:      %08x\n", pex->NumberOfNames);
    printf("AddressOfFunctions:     %08x\n", pex->AddressOfFunctions);
    printf("AddressOfNames:     %08x\n", pex->AddressOfNames);
    printf("AddressOfNameOrdinals:   %08x\n", pex->AddressOfNameOrdinals);


    //输出函数地址表信息
    //AddressofFunction
    DWORD exAddFunction = pex->AddressOfNames; //导出函数名的 RVA
    DWORD exaddNames = NULL;
    exaddNames = (DWORD)Rva(IMbuffer, exAddFunction);
    printf("\n%x", exaddNames);
    DWORD Numberofnames = pex->NumberOfNames; //以函数名字导出的函数个数
    PDWORD pExAddressofName = NULL;
    pExAddressofName = (PDWORD)((DWORD)IMbuffer + exaddNames);
    for (int k = 0x0; k <= Numberofnames; k++){
        printf("\n %d :%x \n", k, *pExAddressofName);
        //函数名的地址转化为FOA,输出函数名
        PBYTE Nameaddress = (PBYTE)Rva(IMbuffer, *pExAddressofName);
        //输出函数名
        unsigned char* FunctionName = (PBYTE)((DWORD)IMbuffer + (DWORD)Nameaddress);
        printf(" %s \n", FunctionName);
        pExAddressofName++;
    }

    //函数序号表
    printf("\n-----------函数序列表-----------\n");

    DWORD ExAddress = pex->AddressOfNameOrdinals;
    DWORD Exrdinals = (DWORD)Rva(IMbuffer, ExAddress);
    Numberofnames = pex->NumberOfNames;;
    PWORD pAddressOrdinals = NULL;
    pAddressOrdinals = (PWORD)((DWORD)IMbuffer + ExAddress);

    for (int y = 0x0; y < Numberofnames; y++){
        printf("\n%d :%x", y, *pAddressOrdinals);
        pAddressOrdinals++;
    }
    printf("\n--------------------------------\n");
    return 0;
}
LPVOID GetFunctionAddrByName(LPVOID filebuffer, DWORD AddName)
{
    
    PIMAGE_DOS_HEADER pDos = NULL;
    PIMAGE_NT_HEADERS pNT = NULL;
    PIMAGE_FILE_HEADER pFile = NULL;
    PIMAGE_OPTIONAL_HEADER pOption = NULL;
    PIMAGE_SECTION_HEADER pSection = NULL;
    PIMAGE_EXPORT_DIRECTORY pex = NULL;
    //目录
    PIMAGE_DATA_DIRECTORY Data = NULL;
    if (*(PWORD)((DWORD)filebuffer) != IMAGE_DOS_SIGNATURE)
    {
        printf("不是Mz标志");
    }
    pDos = (PIMAGE_DOS_HEADER)(PWORD)((DWORD)filebuffer);
    pNT = (PIMAGE_NT_HEADERS)(PDWORD)((DWORD)filebuffer + pDos->e_lfanew);
    pFile = (PIMAGE_FILE_HEADER)(PWORD)((DWORD)pNT + 4);
    pOption = (PIMAGE_OPTIONAL_HEADER)(PWORD)((DWORD)pFile + IMAGE_SIZEOF_FILE_HEADER);
    pSection = (PIMAGE_SECTION_HEADER)((DWORD)pOption + pFile->SizeOfOptionalHeader);
    Data = (PIMAGE_DATA_DIRECTORY)(PWORD)((DWORD)pOption + 0x60);
    //printf("%x",Data->Size);
    //printf("%x", Data->VirtualAddress);
    PIMAGE_SECTION_HEADER pSectionHreder = pSection;
    //定位导出表的位置
    for (int i = 0; i < pFile->NumberOfSections; i++, pSectionHreder++)
    {

        if (Data->VirtualAddress > (pSection + i)->VirtualAddress)//判断是否大于 i节表数据 如果大于就进入再次判断是否小于i+1节表
        {
            if (Data->VirtualAddress < (pSection + i + 1)->VirtualAddress)
            {
                //printf("%s", (pSection + i)->Name);//打印节信息  并通过RVA == RVA - i节里的virtualaddress +i节文件开始的位置 == 导出表文件偏移位置
                pex = (PIMAGE_EXPORT_DIRECTORY)((DWORD)filebuffer + Data->VirtualAddress - (pSection + i)->VirtualAddress + (pSection + i)->PointerToRawData);
            }
        }
    }
    //输出每个函数的地址表
    DWORD pExaddressofNameFoa = (DWORD)Rva(filebuffer, pex->AddressOfNames);
    DWORD pExNumberNames = pex->NumberOfNames;
    //得到函数名地址
    PDWORD pExAddressofNames = NULL;
    pExAddressofNames = (PDWORD)((DWORD)filebuffer+pExaddressofNameFoa);
    WORD u = 0;
    for ( u = 0; u < pExNumberNames;u++) {
        //printf("%d :%x", u, *pExAddressofNames);
        //函数名的地址转化成FoA
        PBYTE FoaAddressOfName = (PBYTE)Rva(filebuffer, *pExAddressofNames);
        //打印转化后的Foa对应的函数名
        //printf("%s\n", (PBYTE)((DWORD)FoaAddressOfName));
        pExAddressofNames++;
    }

    //函数的位置u
    WORD Location_Fun = u-1;
    printf("函数的位置:%d", Location_Fun);
    //函数序号表
    DWORD pExAddressOfOrdinals =(DWORD)Rva(filebuffer,pex->AddressOfNameOrdinals);
    DWORD pExNumberOfNames = pex->NumberOfNames;//以函数名导出的函数个数
    PWORD pExAddressofOrdinals = NULL;
    pExAddressofOrdinals = (PWORD)((DWORD)filebuffer+pExAddressOfOrdinals);

    //函数表的序号
    WORD NUM_Fun = pExAddressofOrdinals[Location_Fun];
    printf("NUM_Fun:%d", NUM_Fun);
    //输出函数地址表信息
    DWORD FoaAddressFunction = pex->AddressOfFunctions;
    FoaAddressFunction = (DWORD)Rva(filebuffer, FoaAddressFunction);
    DWORD NumberofFunction = pex->NumberOfFunctions;//导出函数个数
    PDWORD pExaddressofFunction = NULL;
    pExaddressofFunction = (PDWORD)((DWORD)filebuffer+ FoaAddressFunction);
    //确定函数的地址
    DWORD Fun_Addr = pExaddressofFunction[NUM_Fun];
    printf("\n%x", Fun_Addr);

    return 0;
}


int main()
{
    LPVOID blank = OpenFile();
    //imports();
    GetFunctionAddrByName(blank, 0);
    return 0;
}

xiaodou^_^
关注
PE导出表分析
istream1的博客
12-06 451
导出表大多存在于DLL中，目的就是用来导出其他exe运行的函数。不管exe或者DLL的本质都是PE文件。 DLLIMPORT关键字可以用来修饰某个函数或者时变量就会被导出。 1.3 测试代码 1.4 结果 3.导出表的位置 导出表位于扩展PE头的DIRECTORY DataDirectory[10]里，该数组有10个成员，第一个就是导出表，即DIRECTORY DataDirectory[0]。关于PE文件结构前面提到很多，这里不再赘述，直接用StudyPE+工具找
逆向——PE导出表分析及应用
young的博客
03-22 1950
逆向——PE导出表分析及应用 文章目录逆向——PE导出表分析及应用前言一、利用Winhex查看Winresult.DLL 并分析其提供函数的名字及对应入口地址。二、pedtior打开本机的kernel32.DLL三、实现两种方式的导出函数覆盖-1四、实现两种方式的导出函数覆盖-2总结 前言 本次实验的目的主要是分析PE文件的导出表结构，分析导出函数VA的获取过程，得出导出表结构；研究导出表的利用技术，尝试对DLL文件进行修改，即应用导出函数覆盖技术达到需求。 本次用到的实验工具有：OllyDBG、Ped
手工解析PE(导出表)
GNAIXGNAHZ的博客
06-19 311
手工解析PE(导出表)
[转载]解析PE结构之-----导出表
m0_37442062的博客
12-07 376
在PE结构中最复杂的就是PE结构中的16个目录，如导入目录，导出目录，重定位目录，资源目录等等。对于病毒分析来说，最为重要的是导入目录和导出目录。在我的手写可执行程序的文章中已经介绍了导入目录。此篇文章将介绍导出目录。 我们知道，一个Windows程序，它所实现的所有功能最终几乎都是调用系统DLL提供的API函数。通过我先前文章手写的Hello World程序可以看出，要使用任...
23. PE结构-PE详解之输出表（导出表）
墨痕诉清风的博客
03-05 3695
为每一个程序写一个相同的函数看起来似乎有点浪费空间，因此Windows就整出了动态链接库的概念，将一些常用的函数封装成动态链接库，等到需要的时候通过直接加载动态链接库，将需要的函数整合到自身中，这样就大大的节约了内存中资源的存放。如图： 有一个重要的概念需要记住：动态链接库是被映射到其他应用程序的地址空间中执行的，它和应用程序可以看成是“一体”的，动态链接库可以使用应用程序的资源，它所拥有的...
滴水逆向三期实践11：导出表
Rivival_S 的博客
10-28 1384
前面提到头OPTIONAL_HEADER的最后一项，是一个16个元素的结构体数组，为数据目录。 而数据目录项的第一个结构，就是动态链接库中经常提到的 导出表. typedef struct _IMAGE_DATA_DIRECTORY { DWORD VirtualAddress; DWORD Size; } IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIR...
滴水逆向三期实践附：前后使用到的PE相关函数合集 Currency.h
Rivival_S 的博客
10-28 1079
课上海东说尽量把常用函数放进一个头文件中，附带实现.cpp 这里作一个 Currency.h 和Currency.cpp函数基本是前面出现过的，包含功能和输入输出说明。 后面的文章也会使用到大部分。 首先是Currency.h #pragma once #include "windows.h" //函数声明 //************************************************************************** ...
PE导出表查看器-易语言
06-11
《PE导出表查看器-易语言》是针对PE（Portable Executable）文件格式中导出表解析的一个高级教程源码。PE文件格式是Windows操作系统中用于执行程序的标准格式，而导出表则是PE文件中一个重要的组成部分，主要用于...
pe导出表pe导出表pe导出表pe导出表pe导出表pe导出表pe导出表
08-21
PE导出表是PE文件结构的一部分，它是程序对外提供服务的关键组件。在深入理解PE导出表之前，我们先简单回顾一下PE文件的基本结构。 PE文件由头文件（包含文件头和节表）和节组成。文件头提供了关于文件类型、大小、...
编辑/查看DLL文件的PE导出表工具ExpX-v0.5
05-21
利用它可以方便的对PE文件的导出表进行增、删、改的操作，现在它还可以用于给没有导出表的文件添加导出函数。 这个工具除了PE diy外，通过为导出函数添加Forward信息等方法还可以实现函数hook，dll注入等功能。至于...
滴水逆向——PE导出表
sunr.
04-10 1686
Ⅰ.知识点： 1.如何定位导出表： 数据目录项的第一个结构，就是导出表. typedef struct _IMAGE_DATA_DIRECTORY { DWORD VirtualAddress; DWORD Size; } IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY; ...
PE文件解析--导出表
qq_31125257的博客
12-22 1687
1、定位导出表 可选pe头中的最后一个字段：数据目录项 typedef struct _IMAGE_DATA_DIRECTORY { DWORD VirtualAddress; DWORD Size; } IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY; 如何找到这个结构前面的文章已经说过。而且这个 Size 字段不一定是真实的。 上面 Vi
PE基本操作代码
weixin_51061902的博客
01-30 552
最近在学习PE,今天最后一节课做完了,代码很丑,很粗糙,有很多需要改的地方 下面是所有代码,全部经过编译 #include <stdio.h> #include <stdlib.h> #include "string.h" #include <windows.h> #define path "D:\\xx\\xx.exe" #define path1 "D:\\xx\\xx.exe" #define path2 "D:\\xx\\xx.exe" #define CodeL
通过函数名称和序号，打印出导出函数地址（含代码）
lygl35的博客
07-19 1029
主程序 //主程序 outoutpeh.cpp #include <stdio.h> #include <stdlib.h> #include "func.h" typedef int(*lpPlus)(int, int); int main(int argc ,char* argv[]) { //PrintNTHeaders();//打印PE头信息 //TestAddCodeIncodeSec(); //TestAddSecIncode(); //Pri
PE:GetFunctionAddrByName
zmmycsdn的博客
01-13 600
DWORD GetFunctionAddrByName(IN PVOID pFileBuffer,IN DWORD NameOfFunction) { PIMAGE_DOS_HEADER pDosHeader = NULL; PIMAGE_NT_HEADERS pNTHeader = NULL; PIMAGE_FILE_HEADER pPEHeader = NULL; ...
端口安全讲解
rzy41880的博客
05-07 899
‌MAC地址绑定机制‌端口安全通过记录连接到交换机端口的设备MAC地址，仅允许已授权的MAC地址通信。未绑定的设备接入时，系统会根据预设策略阻断或告警。‌安全MAC类型‌‌静态绑定‌：管理员手动配置允许的MAC地址列表；‌动态绑定‌：交换机自动学习首个接入设备的MAC地址并锁定；‌Sticky MAC‌：动态绑定基础上支持断电后保留绑定关系。类型定义特点安全动态MAC地址仅开启端口安全转换的MAC地址。设备重启后表项会丢失，需要重新学习。
中级注册安全工程师的《安全生产专业实务》科目如何选择专业？
最新发布
m0_60557936的博客
05-07 370
中级注册安全工程师的《安全生产专业实务》有 7 个专业方向，选择时可考虑以下几个方面：
7.2.安全防御
2301_79902294的博客
05-07 802
• 密码存储：BCrypt与Argon2算法实现（Spring Security） • 多因素认证（MFA）：TOTP集成（Google Authenticator API） • 生物识别安全：活体检测与本地存储（Android Biometric API）• 数据库加密：透明数据加密（TDE）、字段级加密（Jasypt） • 文件存储安全：权限控制（Linux ACL）、客户端加密（WebCrypto API） • 备份与恢复策略：异地加密备份（AWS S3 + KMS）-- 身份证号 -->
数字化时代下，软件测试中的渗透测试是如何保障安全的？
aiyuntest的博客
05-04 510
数字化时代下，软件测试中的渗透测试是如何保障安全的？在如今数字化与信息化的时代，软件测试中存在渗透测试，其位置十分重要，它借助模拟恶意攻击的方式，去发现软件系统所存在的漏洞以及安全问题，这是保障软件安全的关键环节，接下来我会对它的各个方面进行详细介绍。对于软件开发企业而言，渗透测试能够提升软件的安全性，还能够增强软件的可靠性。
ExpX-v0.5：编辑和查看PE导出表的便捷工具
1. PE导出表：PE导出表包含了程序中可以被其他程序调用的函数列表，以及这些函数的名称、序号和内存地址等信息。通过编辑导出表，开发者可以添加、删除或修改导出函数，这对于创建接口、优化程序以及进行逆向工程等...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值