抛砖引玉2-PE64简单解析DLL导出表

飘云

方便你们写劫持工具。。。自己去整吧~~

1. /*
   
2.         解析PE64 DLL 导出表
   
3.         By 飘云/P.Y.G
   
4.         www.chinapyg.com
   
5. */
   
6. #include "windows.h"
   
7. #include "stdio.h"
   
8. 
   
9. 
   
10. DWORD RVA2Offset(PIMAGE_NT_HEADERS pNTHeader, DWORD dwRVA)
    
11. {
    
12.         PIMAGE_SECTION_HEADER pSection = (PIMAGE_SECTION_HEADER)((DWORD)pNTHeader + sizeof(IMAGE_NT_HEADERS));
    
13. 
    
14.         for(int i = 0; i < pNTHeader->FileHeader.NumberOfSections; i++)
    
15.         {
    
16.                 if(dwRVA >= pSection[i].VirtualAddress && dwRVA < (pSection[i].VirtualAddress + pSection[i].SizeOfRawData))
    
17.                 {
    
18.                         return pSection[i].PointerToRawData + (dwRVA - pSection[i].VirtualAddress);
    
19.                 }
    
20.         }
    
21. 
    
22.         return 0;
    
23. }
    
24. 
    
25. void PE64_DLL(PCHAR lpFileName)
    
26. {
    
27.         HANDLE hfile = CreateFileA(lpFileName,
    
28.                 GENERIC_READ|GENERIC_WRITE,
    
29.                 FILE_SHARE_READ,
    
30.                 NULL,
    
31.                 OPEN_EXISTING,
    
32.                 FILE_ATTRIBUTE_NORMAL,
    
33.                 NULL);
    
34. 
    
35.         if(hfile == INVALID_HANDLE_VALUE)
    
36.         {
    
37.                 printf("[P.Y.G]创建文件失败.\n");
    
38.                 return ;
    
39.         }
    
40.         HANDLE hFileMapping = CreateFileMapping(hfile, NULL, PAGE_READONLY, 0, 0, NULL);
    
41.         if (hFileMapping == NULL || hFileMapping == INVALID_HANDLE_VALUE)
    
42.         {
    
43.                 printf("[P.Y.G]创建共享内存失败 (%d).\n", GetLastError());
    
44.                 return ;
    
45.         }
    
46. 
    
47.         LPBYTE lpBaseAddress = (LPBYTE)MapViewOfFile(hFileMapping, FILE_MAP_READ, 0, 0, 0);
    
48.         if (lpBaseAddress == NULL)
    
49.         {
    
50.                 printf("[P.Y.G]内存映射失败 (%d).\n", GetLastError());
    
51.                 return ;
    
52.         }
    
53.         PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)lpBaseAddress;
    
54. 
    
55.         // 验证PE合法性
    
56.         if (pDosHeader->e_magic != IMAGE_DOS_SIGNATURE)
    
57.         {
    
58.                 printf("[PYG]--非PE文件!\n");       
    
59.                 // 自行清理现场。。。
    
60.                 return;
    
61.         }
    
62. 
    
63.         PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)(lpBaseAddress + pDosHeader->e_lfanew);
    
64. 
    
65.         // 继续验证PE合法性
    
66.         if(pNtHeaders->Signature != IMAGE_NT_SIGNATURE)
    
67.         {
    
68.                 printf("[PYG]--非PE文件!\n");
    
69.                 // 自行清理现场。。。
    
70.                 return;
    
71.         }
    
72. 
    
73.         int dwExportOffset = RVA2Offset(pNtHeaders, pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);
    
74.         PIMAGE_EXPORT_DIRECTORY pExport = (PIMAGE_EXPORT_DIRECTORY)((DWORD)lpBaseAddress + dwExportOffset);
    
75.         DWORD dwFunctionNameOffset = (DWORD)lpBaseAddress + RVA2Offset(pNtHeaders, pExport->Name);
    
76.         DWORD* pdwNamesAddress = (DWORD*)((DWORD)lpBaseAddress + RVA2Offset(pNtHeaders, pExport->AddressOfNames));
    
77.         DWORD* pdwFunctionAddress = (DWORD*)((DWORD)lpBaseAddress + RVA2Offset(pNtHeaders, pExport->AddressOfFunctions));
    
78.         WORD* pwOrdinals = (WORD*)((DWORD)lpBaseAddress + RVA2Offset(pNtHeaders, pExport->AddressOfNameOrdinals));
    
79. 
    
80.         DWORD dwNumberOfNames = pExport->NumberOfNames;
    
81. 
    
82.         if(dwNumberOfNames > 0)
    
83.         {
    
84.                 printf("[P.Y.G]文件名: %s\n", dwFunctionNameOffset);
    
85.                 printf("[P.Y.G]导出函数总数: %X\n", pExport->NumberOfFunctions);
    
86.                 printf("[P.Y.G]名称函数总数: %X\n\n", pExport->NumberOfNames);
    
87. 
    
88.                 printf("名称导出:\n\n");
    
89. 
    
90.                 for(int i = 0; i < dwNumberOfNames; i++)
    
91.                 {
    
92.                         DWORD dwFunctionAddress = pdwFunctionAddress[pwOrdinals[i]];
    
93.                         DWORD pdwFunNameOffset = (DWORD)lpBaseAddress + RVA2Offset(pNtHeaders, pdwNamesAddress[i]);
    
94. 
    
95.                         printf("[P.Y.G][序号]: %-4X  [名称]: %-30s  [RVA]: 0x%08X\n", pExport->Base + i/* + 1*/, pdwFunNameOffset, dwFunctionAddress);
    
96.                 }
    
97. 
    
98.                 printf("\n序号导出:\n\n");
    
99. 
    
100.                 for(int i = 0; i < pExport->NumberOfFunctions - dwNumberOfNames; i++)
     
101.                 {
     
102.                         printf("[P.Y.G][序号]: %-4d  [RVA]: 0x%08X\n", pExport->Base + i/* + 1*/, pdwFunctionAddress[i]);
     
103.                 }
     
104.         }else
     
105.                 printf("\n\t---------- [P.Y.G]未找到导出表! ----------\n");
     
106. 
     
107. 
     
108.         UnmapViewOfFile(lpBaseAddress);
     
109.         CloseHandle(hFileMapping);
     
110.         CloseHandle(hfile);
     
111. 
     
112. }
     
113. 
     
114. void main()
     
115. {
     
116.         char szFileName[MAX_PATH];
     
117.         printf("请输入文件路径:\n");
     
118.         scanf("%s", szFileName);
     
119.         PE64_DLL(szFileName);
     
120.         system("pause");
     
121. }
     

复制代码

开心啦

此贴必火！感谢飘大，抢座留名.....{:soso_e113:}

Dxer

藤椅是我的。多谢飘哥抽空来分享技术

lucky_789

良码善用之

small-q

爽啊。。。。又是福利

wanap571

多谢飘哥抽空来分享技术

649117060

谢谢分享谢谢分享谢谢分享

fzx118

多谢分享  大大技术