栈溢出笔记1.7 地址问题（2）

1.6节中找到了kernel32.dll的基地址，这一节，来解决第二个重要问题，即解析kernel32.dll的导出表，找到LoadLibraryA和GetProcAddress的地址。

DLL导出的函数信息位于导出表中，因此，首先，要在PE文件中找到导出表（IMAGE_EXPORT_DIRECTORY）的地址，这位于数据目录（IMAGE_DATA_DIRECTORY）中。而数据目录位于PE扩展头（IMAGE_OPTIONAL_HEADER）的最后。

下图为PE文件的结构：

图44

PE文件开头为一个DOS头（IMAGE_DOS_HEADER），大小固定为64个字节，其中，最后4个字节指定PE头的偏移量（IMAGE_NT_HEADER),即PE头标识（Signture）的偏移量，中间有一段大小不固定的DOS Stub。PE头标识之后是标准PE头（IMAGE_FILE_HEADER），大小固定为20字节，之后是扩展PE头（IMAGE_OPTIONAL_HEADER32），数据目录就位于扩展PE头的末尾。

数据目录包含16种（导出表，导入表，资源表等），每种占8个字节，导出表项位于第一项。图44中已经标出了数据目录距离DOS头的偏移，为120（0x78）个字节。（注：引用的原图有误，中间少算了8个字节）。这个偏移也就是导出表项的偏移，因为导出表项是第一项。

导出表项的偏移并不是导出表的偏移，每个数据目录项8个字节，共两个字段，如下：

/*****************************************************************************/
typedef struct _IMAGE_DATA_DIRECTORY {

    DWORD VirtualAddress;

    DWORD Size;

} IMAGE_DATA_DIRECTORY,*PIMAGE_DATA_DIRECTORY;
/*****************************************************************************/

第一个字段VirtualAddress表示导出表距离PE文件开头的偏移，第二个字段Size为导出表的大小，根据这两个字段，可以定位导出表。

下面来看导出表的具体结构，如下：

/*****************************************************************************/
typedef struct _IMAGE_EXPORT_DIRECTORY {  
    DWORD Characteristics;  
    DWORD TimeDateStamp;             
    WORD MajorVersion;  
    WORD MinorVersion;  
    DWORD Name;                     
DWORD Base;                     // +0x10 函数起始需要
DWORD NumberOfFunctions;      // +0x14 导出函数个数
    DWORD NumberOfNames;           // +0x18以函数名导出的函数个数
DWORD AddressOfFunctions;      // +0x1c 导出函数地址表
DWORD AddressOfNames;          // +0x20 函数名称地址表  
DWORD AddressOfNameOrdinals;  // +0x24函数序号地址表 
} IMAGE_EXPORT_DIRECTORYM, *pIMAGE_EXPORT_DIRECTORY;
/*****************************************************************************/

标红的字段为重要的字段。其中，AddressOfFunctions所指的区域依次保存了所有导出函数的地址，个数由NumberOfFunctions决定。AddressOfNames所指的区域依次保存了对应函数的函数名，个数由NumberOfNames决定。AddressOfNameOrdinals与AddressOfNames一一对应，指定函数在AddressOfFunctions的索引值，即将函数名与地址联系起来。需要注意的是AddressOfNameOrdinals中的序号为一个字（两个字节），而不是像地址为4个字节。

图45

AddressOfFunctions的个数可能会大于AddressOfNames，因为有的函数可能没有导出函数名，此时，没有AddressOfNameOrdinals，就找不到函数地址了。

记住，我们要找的两个函数LoadLibraryA和GetProcAddress，我们知道的只有函数名，因此，查找从AddressOfNames开始，比较函数名，然后根据索引（第几个），在AddressOfNameOrdinals查找到函数在AddressOfFunctions的索引值（前面说了，AddressOfNames和AddressOfNameOrdinals一一对应），然后，从AddressOfFunctions找到对应索引处的地址即可。注意，PE文件中的地址均为相对地址（RVA），因此，实际使用时要加上模块（exe，dll）实际加载基地址，换为实际地址。

现在，又到了写代码实现的时候了，比较麻烦的地方是字符串的比较，查找指定名称函数的代码可以实现为一个函数，输入为函数的名称，输出为函数的地址。我们还要用到上一节的内容，即获取kernel32.dll的基地址。

/*****************************************************************************/
// example_9 从kernel32.dll中查找函数地址
#include 

// 获取kernel32.dll的基地址
int get_kernel32_base()
{
    __asm
    {
        mov eax, fs:[0x30]  // PEB
        mov eax, [eax+0x0c] // PEB->Ldr
        mov eax, [eax+0x1c] // PEB->Ldr.InInitializationOrderModuleList.Flink(指向第一个元素)
        mov eax, [eax]      // 指向第二个元素
        mov eax, [eax+0x08] // kernel32.dll基地址
    }
}

int compare_string( char* symbol1, char* symbol2 )
{
    __asm
    {
        mov esi, [ebp+8]; // symbol1
        mov edi, [ebp+12]; // symbol2

        xor eax, eax

    compare_loop:
        mov al, [esi] // 取下一个字符
        mov bl, [edi]
        cmp al, bl // 比较是否相等
        jnz equal_no
        test al, al // symbol2是否结尾
        jz equal_yes
        test bl, bl // symbol1是否结尾
        jz equal_yes
        inc esi 
        inc edi
        jmp compare_loop

    equal_no:
        sub al, bl
    equal_yes:

    }
}

int get_func_addr( char* symbol )
{
    __asm
    {
        call get_kernel32_base // 获取kernel32.dll基地址
        mov ebx, [eax+0x3c]   // PE头的偏移
        mov ebx, [eax+ebx+0x78] // 数据目录导出表项的偏移
        add ebx, eax  // 导出表地址
        mov ecx, [ebx+0x18] // NumberOfNames
        mov edx, [ebx+0x20] // AddressOfNames的RVA
        add edx, eax // 转换为VA

    search_loop:
        jecxz error_done
        dec ecx
        pushad
        mov esi, [edx+ecx*4]
        add esi, eax // 函数名
        push esi
        mov edi, [ebp+8];   // 参数: char* symbol
        push edi
        call compare_string // 比较函数名
        add esp, 8
        test eax, eax       // eax为则相等
        popad
        jnz search_loop
        mov edx, [ebx+0x24] // 函数序号表RVA
        add edx, eax        // 函数序号表VA
        mov cx, [edx+ecx*2] // 函数序号
        mov edx, [ebx+0x1c] // 函数地址表RVA
        add edx, eax        // 函数地址表VA
        mov edx, [edx+ecx*4] // 函数地址RVA
        add edx, eax         // 函数地址VA
        jmp done
    error_done:
        xor eax, eax
    done:
        mov eax, edx
    }
}

int main()
{
    printf("0x%x\n", get_func_addr("LoadLibraryA"));

    return 0;
}
/*****************************************************************************/