《初识PE》导出表

【《初识PE》导出表】的更多相关文章

初识PE文件结构

前言目前网络上有关PE文件结构说明的文章太多了,自己的这篇文章只是单纯的记录自己对PE文件结构的学习.理解和总结. 基础概念 PE(Portable Executable:可移植的执行体)是Win32环境自身所带的可执行文件格式.它的一些特性继承自Unix的Coff(Common Object File Format)文件格式.可移植的执行体意味着此文件格式是跨win32平台的,即使Windows运行在非Intel的CPU上,任何win32平台的PE装载器都能识别和使用该文件格式.当然,移植到…

《初识PE》导出表

转自:http://www.blogfshare.com/pe-export.html (二).导出表当PE文件被执行的时候,Windows装载器将文件装入内存并将导入表中登记的DLL文件一并装入,再根据DLL文件中的函数导出信息对被执行文件的IAT表进行修正. Windows 在加载一个程序后就在内存中为该程序开辟一个单独的虚拟地址空间,这样的话在各个程序自己看来,自己就拥有几乎任意地址的支配权,所以他自身的函数想放在哪个地址自己说了算.有一些函数很多程序都会用到,为每一个程序写一个相同的函…

PE文件结构详解（三）PE导出表

上篇文章 PE文件结构详解(二)可执行文件头的结尾出现了一个大数组,这个数组中的每一项都是一个特定的结构,通过函数获取数组中的项可以用RtlImageDirectoryEntryToData函数,DataDirectory中的每一项都可以用这个函数获取,函数原型如下: PVOID NTAPI RtlImageDirectoryEntryToData(PVOID Base, BOOLEAN MappedAsImage, USHORT Directory, PULONG Size); Base:模…

逆向-PE导出表

PE-导出表动态链接库要想给别人用实现加载时或运行时链接就必须提供函数和数据的地址.exe一般不会有这个,大部分是DLL文件的.导出分为名字导出和序号导出. 名字导出先找名字,再通过名字表的索引找到AddressOfNameOrdinals里面的值,此值即为name和函数地址关联处,是AddressOfFunctions的索引序号导出,序号-base就是AddressOfFunctions索引,直接找就是函数地址. typedef struct _IMAGE_EXPORT_DIRECTO…

c++ 动态解析PE导出表

测试环境是x86 main #include <iostream> #include <Windows.h> #include <TlHelp32.h> #include <string.h> using namespace std; const string processName = "game2.exe"; const string dllName = "kernel32.dll"; const string e…

Windows PE导出表编程4（重构导出表实现私有函数导出）

本次是尝试调用DLL里面的私有函数. 一: 之前先探索一下,首先可以考虑用偏移量来调用,就是如果知道了某个私有函数和某个导出的公共函数的相对便宜的话,直接加载dll获取公共函数地址,然后自己手动去偏移调用就行了.先测试一发,就是根据MessageBoxA的地址来偏移到MessageBoxB的地址,然后去调用. 答案和预期的一样,是可以调用的,但是问题是上面的两个MessageBoxA和B都是导出函数,那如果偏移的是私有函数是否可以调用成功?接下来是实验这个. 二: 我自己写了一个dll代码如下:…

Windows PE导出表编程3（暴力覆盖导出函数）

今天要尝试的导出表相关编程内容是:覆盖函数地址部分的指令代码. 这种覆盖技术,是将AddressOfFunctions指向的地址空间指令字节码实施覆盖,这种技术又繁衍出两种: 暴力覆盖,即将所有的代码全部替换为新代码.新代码可能含有原来代码的全部功能,也可能不包含原有代码功能. 完美覆盖,通过构造指令,实施新代码与源代码的共存和无遗漏运行.因为完美覆盖涉及代码的重定位,相对复杂一些,今天尝试暴力覆盖.目标是我自己写了一个dll导出一个加法函数,然后我要用另一个自定义函数替换这个函数,让他直接返回…