逆向-PE导出表

【逆向-PE导出表】的更多相关文章

PE-导出表动态链接库要想给别人用实现加载时或运行时链接就必须提供函数和数据的地址.exe一般不会有这个,大部分是DLL文件的.导出分为名字导出和序号导出. 名字导出先找名字,再通过名字表的索引找到AddressOfNameOrdinals里面的值,此值即为name和函数地址关联处,是AddressOfFunctions的索引序号导出,序号-base就是AddressOfFunctions索引,直接找就是函数地址. typedef struct _IMAGE_EXPORT_DIRECTO…

PE文件结构详解（三）PE导出表

上篇文章 PE文件结构详解(二)可执行文件头的结尾出现了一个大数组,这个数组中的每一项都是一个特定的结构,通过函数获取数组中的项可以用RtlImageDirectoryEntryToData函数,DataDirectory中的每一项都可以用这个函数获取,函数原型如下: PVOID NTAPI RtlImageDirectoryEntryToData(PVOID Base, BOOLEAN MappedAsImage, USHORT Directory, PULONG Size); Base:模…

逆向-PE导入表

导入表动态链接库需要导入表结构 typedef struct _IMAGE_IMPORT_DESCRIPTOR { union { DWORD Characteristics; // 0 for terminating null import descriptor DWORD OriginalFirstThunk; // RVA to original unbound IAT (PIMAGE_THUNK_DATA) } DUMMYUNIONNAME; DWORD TimeDateStamp;…

c++ 动态解析PE导出表

测试环境是x86 main #include <iostream> #include <Windows.h> #include <TlHelp32.h> #include <string.h> using namespace std; const string processName = "game2.exe"; const string dllName = "kernel32.dll"; const string e…

Windows PE导出表编程4（重构导出表实现私有函数导出）

本次是尝试调用DLL里面的私有函数. 一: 之前先探索一下,首先可以考虑用偏移量来调用,就是如果知道了某个私有函数和某个导出的公共函数的相对便宜的话,直接加载dll获取公共函数地址,然后自己手动去偏移调用就行了.先测试一发,就是根据MessageBoxA的地址来偏移到MessageBoxB的地址,然后去调用. 答案和预期的一样,是可以调用的,但是问题是上面的两个MessageBoxA和B都是导出函数,那如果偏移的是私有函数是否可以调用成功?接下来是实验这个. 二: 我自己写了一个dll代码如下:…

Windows PE导出表编程3（暴力覆盖导出函数）

今天要尝试的导出表相关编程内容是:覆盖函数地址部分的指令代码. 这种覆盖技术,是将AddressOfFunctions指向的地址空间指令字节码实施覆盖,这种技术又繁衍出两种: 暴力覆盖,即将所有的代码全部替换为新代码.新代码可能含有原来代码的全部功能,也可能不包含原有代码功能. 完美覆盖,通过构造指令,实施新代码与源代码的共存和无遗漏运行.因为完美覆盖涉及代码的重定位,相对复杂一些,今天尝试暴力覆盖.目标是我自己写了一个dll导出一个加法函数,然后我要用另一个自定义函数替换这个函数,让他直接返回…