Windows API dll 中函数的序号索引是否曾经改变过？

Question

您知道 dll 中的函数可以通过名称或序号索引导入。

来自wikipedia：对于大多数 Windows API 函数，只有名称在不同的 Windows 版本中保留；序数可能会发生变化。因此，无法通过序号可靠地导入 Windows API 函数。

我的问题：我知道这些序数可能会改变，但我想知道它们是否真的改变过。 （尤其是关于 kernel32 和 user32 dll）

我为什么要问这个？我听说有些病毒会按序号导入 win32 函数。我想抓住它们，我想知道我是否可以测试序数。

谢谢。

Answer 1

这个问题很容易回答，答案是是的。只需获取两个版本的 kernel32.dll 并使用 PE 查看器查看它们。

例如，左边是 Windows 7 的 kernel32.dll，右边是 Windows Vista 的 kernel32.dll。可以看到AddIntegrityLabelToBoundaryDescriptor的加入使得下面的函数序号比Vista增加了1。

我不明白您为什么要使用此信息来捕获病毒。病毒可以使用许多其他方法来获取函数的地址。

Answer 2

这无关紧要。使用错误序数的病毒无法复制。您无法捕获无法复制的病毒，您将永远看不到它们。你这样做也没关系，它不起作用。