0X0 EAT表
在windows系统中，“库”是为了方便其他程序调用而集中包含相关的函数的文件(dll,sys).win32 API是最具有代表性的库。
EAT是一种核心机制，它使不同的应用程序可以调用库文件中提供的函数。也就是说，只有通过EAT表才能准确的求得从相应的库中导出函数的起始地址。
PE文件内的结构体(IMAGE_EXPORT_DIRECTORY)保存着导出信息，且PE文件中仅有一个用来说明库EAT的IMAGE_EXPORT_DIRECTORY结构体
0X01 IMAGE_EXPORT_DIRECTORY结构体
我们可以在PE文件头 IMAGE_EXPORT_DIRECTORY的位置,IMAGE_OPTIONAL_HEADER32.DataDirectory[0].VirtualAddress就是该结构体数组的起始地址。
IMAGE_EXPORT_DIRECTORY 结构体代码如下
typedef struct _IMAGE_EXPORT_DIRECTORY {
DWORD Characteristics; //保留 总是定义为0
DWORD TimeDateStamp; //文件生成时间
WORD MajorVersion; //主版本号 一般不赋值
WORD MinorVersion; //次版本号 一般不赋值
DWORD Name; //模块的真实名称
DWORD Base; //索引基数 加上序数就是函数地址数组的索引值
DWORD NumberOfFunctions; //地址表中个数
DWORD NumberOfNames; //名称表的个数
DWORD AddressOfFunctions; //输出函数地址的RVA
DWORD AddressOfNames; //输出函数名字的RVA
DWORD AddressOfNameOrdinals; //输出函数序号的RVA
} IMAGE_EXPORT_DIRECTORYM, *pIMAGE_EXPORT_DIRECTORY;
IMAGE_EXPORT_DIRECTORY 结构体的重要成员
| 项目 | 含义 |
|---|---|
| NumberOfFunctions | 实际Export函数的个数 |
| NumberOfNames | Export函数中具名函数的个数 |
| AddressOfFunctions | Export函数地址数组(数组元素个数=NumberOfFunctions) |
| AddressOfNames | 函数名称地址数组(数组元素个数=NumberOfNames) |
| AddressOfNameOrdinals | Ordinal地址数组(数组元素个数=NumberOfNames) |
下图是描述kernel32.dll文件的IMAGE_EXPORT_DIRECTORY 结构体与整个EAT结构
0x02 获取库函数的操作原理
从库中获取函数的API为GetProAddress()函数。该API引用EAT来获取指定API的地址，下面说明GetProAddress()函数的流程。
GetProAddress()操作原理
(1) 首先我们有一个要查找的函数名字fun_name
(2) 通过IMAGE_EXPORT_DIRECTORYM 获得AddressOfNames成员获取函数名称数组。通过比较(strcmp)字符串，查找出指定的函数名称，获取数组的索引值
(3) 通过IMAGE_EXPORT_DIRECTORYM 获得AddressOfNameOrdinals成员获取函数名称数组,将获取的数组索引值作为AddressOfNameOrdinals数组的下标获取相应的值ordinal
(4) 通过IMAGE_EXPORT_DIRECTORYM 获得AddressOfFunctions成员获取函数名称数组。并把ordinal作为AddressOfFunctions数组的下标，获取指定函数的地址
提示
对于没有函数名称的导出函数，可以通过Ordinal查找它们地址。从Ordinal值减去IMAGE_EXPORT_DIRECTORY.Base成员最后一个值，使用该值作为"函数地址数组"(AddressOfFunctions)的索引，即可查找到相应的函数地址。
0x03 使用user32.dll练习
1 查找EAT表的地址
通过PEview查看user32.dll RVA 3900 => RAW 2D00
2 查出来EAT表的RAW为 2D00
EAT结构体中的含义
| 名称 | 数据(RVA) | RAW |
|---|---|---|
| Characteristics | 0 | 0 |
| TimeDateStamp | 48025D7A | 0 |
| MajorVersion | 0000 | 0 |
| MinorVersion | 0000 | 0 |
| Name | 000055C0 | 49C0 |
| Base | 00000001 | 0 |
| NumberOfFunctions | 000002DC | 0 |
| NumberOfNames | 000002DC | 0 |
| AddressOfFunctions | 00003928 | 2D28 |
| AddressOfNames | 00004498 | 3898 |
| AddressOfNameOrdinals | 00005008 | 4408 |
3 查看函数名称组
AddressOfNames是一个 4个字节RVA组成的数组，AddressOfNameOrdinals是一个2个字节组成的数组，AddressOfFunctions 是由4个字节 函数地址组成的数组
我们查找第一个函数名的地址来演示整个流程 首先找到AddressOfNames 在文件中的首地址RAW 3898
RVA 55CB => RAW 49CB 转换成文件偏移
这个为一个函数，序号为0，下一步需要查找AddressOfNameOrdinals中索引为0中的数据
从数组中取出数据为零，则在AddressOfFunctions 数组查找下标为0的数组
RVA 00018673
用OllDbg查看user32.dll 看到 ImageBase=77D10000
所以该ActivateKeyboardLayout函数的实际地址为 77D10000+18673=77D28673
0x04 寻找函数地址示意图
