便携式可执行导出文件名字段

Question

IMAGE_EXPORT_DIRECTORY 结构的字段之一是“名称”。根据 COFF 规范，该字段包含导出符号的 PE 文件的名称。我可以以编程方式读取该字段。它确实引用了导出符号的文件的名称。但是，有人可以解释这个字段的含义吗？为什么它实际上存在？看起来可以用作双重检查..

Answer 1

IMAGE_EXPORT_DIRECTORY 中的 Name 字段包含模块的内部名称（即构建模块时使用的原始名称）。这在实际文件本身被重命名的情况下很有用。例如，支持 PAE 的 NT 内核被命名为ntkrnlpa.exe。但是，其IMAGE_EXPORT_DIRECTORY 结构中的Name 字段仍然包含ntoskrnl.exe。