小甲魚PE詳解之輸入表（導出表）詳解（PE詳解09）

小甲魚PE詳解之輸出表（導出表）詳解（PE詳解09）


當PE 文件被執行的時候，Windows 加載器將文件裝入內存並將導入表(Export Table) 登記的動態鏈接庫(一般是DLL 格式)文件一併裝入地址空間，再根據DLL 文件中的函數導出信息對被執行文件的IAT 進行修正。

基礎補充：很多朋友可能看到這裏會有點懵，各位看官請允許小甲魚囉嗦一下，照顧初學者。我們都明白Windows 在加載一個程序後就在內存中爲該程序開闢一個單獨的虛擬地址空間，這樣的話在各個程序自己看來，自己就擁有幾乎任意地址的支配權，所以他自身的函數想放在哪個地址自己說了算。

有一些函數很多程序都會用到，爲每一個程序寫一個相同的函數看起來似乎有點浪費空間，因此Windows就整出了動態鏈接庫的概念，將一些常用的函數封裝成動態鏈接庫，等到需要的時候通過直接加載動態鏈接庫，將需要的函數整合到自身中，這樣就大大的節約了內存中資源的存放。如圖：




有一個重要的概念需要記住：動態鏈接庫是被映射到其他應用程序的地址空間中執行的，它和應用程序可以看成是“一體”的，動態鏈接庫可以使用應用程序的資源，它所擁有的資源也可以被應用程序使用，它的任何操作都是代表應用程序進行的，當動態鏈接庫進行打開文件、分配內存和創建窗口等操作後，這些文件、內存和窗口都是爲應用程序所擁有的。所以，動態鏈接庫用小甲魚的話說就是“寄生蟲”! )

那導出表是幹啥用的呢? 導出表就是記載着動態鏈接庫的一些導出信息。通過導出表，DLL 文件可以向系統提供導出函數的名稱、序號和入口地址等信息，比便Windows 加載器通過這些信息來完成動態連接的整個過程。

友情提示：擴展名爲.exe 的PE 文件中一般不存在導出表，而大部分的.dll 文件中都包含導出表。但注意，這並不是絕對的。例如純粹用作資源的.dll 文件就不需要導出函數啦，另外有些特殊功能的.exe 文件也會存在導出函數。所以，世事無絕對……好了，我們接下來就對導出表的結構進行分析。


導出表結構

導出表（Export Table）中的主要成分是一個表格，內含函數名稱、輸出序數等。序數是指定DLL 中某個函數的16位數字，在所指向的DLL 文件中是獨一無二的。在此我們不提倡僅僅通過序數來索引函數的方法，這樣會給DLL 文件的維護帶來問題。例如當DLL 文件一旦升級或修改就可能導致調用改DLL 的程序無法加載到需要的函數。

數據目錄表的第一個成員指向導出表，是一個IMAGE_EXPORT_DIRECTORY(以後簡稱IED)結構，IED 結構的定義如下：

IMAGE_EXPORT_DIRECTORY STRUCT
	Characteristics		DWORD	?	; 未使用，總是定義爲0
	TimeDateStamp		DWORD	?      ; 文件生成時間
	MajorVersion		WORD	?	; 未使用，總是定義爲0
	MinorVersion		WORD	?	; 未使用，總是定義爲0
	Name			DWORD	?	; 模塊的真實名稱
	Base		        	DWORD	?	; 基數，加上序數就是函數地址數組的索引值
	NumberOfFunctions	DWORD	?	; 導出函數的總數
	NumberOfNames	DWORD	?	; 以名稱方式導出的函數的總數
	AddressOfFunctions	DWORD	?	; 指向輸出函數地址的RVA
	AddressOfNames		DWORD	?	; 指向輸出函數名字的RVA
	AddressOfNameOrdinals	DWORD	?	; 指向輸出函數序號的RVA
IMAGE_EXPORT_DIRECTORY ENDS

這個結構中的一些字段並沒有被使用，有意義的字段說明如下。

• Name：一個RVA 值，指向一個定義了模塊名稱的字符串。如即使Kernel32.dll 文件被改名爲"Ker.dll"，仍然可以從這個字符串中的值得知其在編譯時的文件名是"Kernel32.dll"。

• NumberOfFunctions：文件中包含的導出函數的總數。

• NumberOfNames：被定義函數名稱的導出函數的總數，顯然只有這個數量的函數既可以用函數名方式導出。也可以用序號方式導出，剩下的NumberOfFunctions 減去NumberOfNames 數量的函數只能用序號方式導出。該字段的值只會小於或者等於 NumberOfFunctions 字段的值，如果這個值是0，表示所有的函數都是以序號方式導出的。

• AddressOfFunctions：一個RVA 值，指向包含全部導出函數入口地址的雙字數組。數組中的每一項是一個RVA 值，數組的項數等於NumberOfFunctions 字段的值。

• Base：導出函數序號的起始值，將AddressOfFunctions 字段指向的入口地址表的索引號加上這個起始值就是對應函數的導出序號。假如Base 字段的值爲x，那麼入口地址表指定的第1個導出函數的序號就是x；第2個導出函數的序號就是x＋1。總之，一個導出函數的導出序號等於Base 字段的值加上其在入口地址表中的位置索引值。

• AddressOfNames 和 AddressOfNameOrdinals：均爲RVA 值。前者指向函數名字符串地址表。這個地址表是一個雙字數組，數組中的每一項指向一個函數名稱字符串的RVA。數組的項數等於NumberOfNames 字段的值，所有有名稱的導出函數的名稱字符串都定義在這個表中；後者指向另一個word 類型的數組（注意不是雙字數組）。數組項目與文件名地址表中的項目一一對應，項目值代表函數入口地址表的索引，這樣函數名稱與函數入口地址關聯起來。（舉個例子說，加入函數名稱字符串地址表的第n 項指向一個字符串“MyFunction”，那麼可以去查找 AddressOfNameOrdinals 指向的數組的第n 項，假如第n 項中存放的值是x，則表示AddressOfFunctions 字段描述的地址表中的第x 項函數入口地址對應的名稱就是“MyFunction”複雜吧? 沒事，接着看你就懂了，別放棄哦~）

整個流程跟其他PE 結構一樣說起來複雜，但看圖說話倒是挺容易的。所以小甲魚還是本着實事求是的精神&……%￥#踏踏實實畫圖讓大家好理解一點吧，來，請上圖：





1. 從序號查找函數入口地址

下邊小甲魚帶大家來模擬一下Windows 裝載器查找導出函數入口地址的整個過程。如果已知函數的導出序號，如何得到函數的入口地址呢 ?

Windows 裝載器的工作步驟如下：

1. 定位到PE 文件頭
2. 從PE 文件頭中的 IMAGE_OPTIONAL_HEADER32 結構中取出數據目錄表，並從第一個數據目錄中得到導出表的RVA
3. 從導出表的 Base 字段得到起始序號
4. 將需要查找的導出序號減去起始序號，得到函數在入口地址表中的索引
5. 檢測索引值是否大於導出表的 NumberOfFunctions 字段的值，如果大於後者的話，說明輸入的序號是無效的
6. 用這個索引值在 AddressOfFunctions 字段指向的導出函數入口地址表中取出相應的項目，這就是函數入口地址的RVA 值，當函數被裝入內存的時候，這個RVA 值加上模塊實際裝入的基地址，就得到了函數真正的入口地址

2. 從函數名稱查找入口地址

如果已知函數的名稱，如何得到函數的入口地址呢？與使用序號來獲取入口地址相比，這個過程要相對複雜一點！

Windows 裝載器的工作步驟如下：

1. 最初的步驟是一樣的，那就是首先得到導出表的地址
2. 從導出表的 NumberOfNames 字段得到已命名函數的總數，並以這個數字作爲循環的次數來構造一個循環
3. 從 AddressOfNames 字段指向得到的函數名稱地址表的第一項開始，在循環中將每一項定義的函數名與要查找的函數名相比較，如果沒有任何一個函數名是符合的，表示文件中沒有指定名稱的函數
4. 如果某一項定義的函數名與要查找的函數名符合，那麼記下這個函數名在字符串地址表中的索引值，然後在 AddressOfNamesOrdinals 指向的數組中以同樣的索引值取出數組項的值，我們這裏假設這個值是x
5. 最後，以 x 值作爲索引值，在 AddressOfFunctions 字段指向的函數入口地址表中獲取的 RVA 就是函數的入口地址

一幫情況下病毒程序就是通過函數名稱查找入口地址的，因爲病毒程序作爲一段額外的代碼被附加到可執行文件中的，如果病毒代碼中用到某些 API 的話，這些 API 的地址不可能在宿主文件的導出表中爲病毒代碼準備好。

因此只能通過在內存中動態查找的方法來實現獲取API 的地址。關於病毒代碼具體的實現分析，小甲魚在今後將跟大家共同研究討論這個話題~


輸出表結構實例分析(具體過程將在視頻中演示，這裏不囉嗦啦~)

工具：PEinfo.exe, UltraEdit, W32DasmV10.0
解剖對象：Counter.dll