如何在 64 位 DLL 中查找导出函数的地址？

Question

我正在分析 32 位和 64 位 DLL。我想知道导出函数的地址是什么。我已经处理了 32 位 DLL，但相同的代码不适用于 64 位模块。

    DWORD address = (*module)->getImageBaseAddress();
    DWORD headerAddress = address + ((PIMAGE_DOS_HEADER)address)->e_lfanew;
    PIMAGE_NT_HEADERS header = (PIMAGE_NT_HEADERS)headerAddress;
    PIMAGE_EXPORT_DIRECTORY exports = (PIMAGE_EXPORT_DIRECTORY)(address + header->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);
    PVOID names = (BYTE *)address + exports->AddressOfNames;
    PVOID moduleFunctions = (BYTE *)address + exports->AddressOfFunctions;
    std::cout << "Characteristics: " << exports->Characteristics << endl;
    std::cout << "TimeDateStamp: " << exports->TimeDateStamp << endl;
    std::cout << "Major version: " << exports->MajorVersion << endl;
    std::cout << "Minor version: " << exports->MinorVersion << endl;
    std::cout << "Name: " << exports->Name << endl;
    std::cout << "Base: " << exports->Base << endl;
    std::cout << "Number of fun: " << exports->NumberOfFunctions << endl;
    std::cout << "Number of names: " << exports->NumberOfNames << endl;

    for (int i = 0; i < exports->NumberOfFunctions; i++) {
        std::cout << std::string((char*)((BYTE *)address + ((DWORD *)names)[i])) << " @ " << ((DWORD *)moduleFunctions)[i] << endl;
    }

第一个输出行看起来不错（TimeDateStamp 具有正确的值，函数名称已正确解析等）。不幸的是，当我在 DLL 文件分析后将我的函数的图像基偏移量与 IDA 给出的偏移量进行比较时，结果会有所不同。例如。对于第一个模块，我得到的偏移量等于11d0b，由于 IDA，没有有效指令从该地址开始（imageBase + 0x11d0b）。

我在 64 位 DLL 中获取函数地址的方法是否正确？为什么我会得到不同的结果？为什么 32 位模块一切正常？

Answer 1

如果您使用 64 位二进制文​​件，optional header 结构的大小会有所不同。官方参考请看PE COFF spec。

您需要关闭可选标题（第一个字段）中的“幻数”，以确定要使用的结构格式。

编辑：添加代码 sn-p 显示选择正确的标题格式：

char* address = (*module)->getImageBaseAddress();
char* headerAddress = address + ((PIMAGE_DOS_HEADER)address)->e_lfanew;
PIMAGE_NT_HEADERS32 header32 = (PIMAGE_NT_HEADERS32)headerAddress;
PIMAGE_NT_HEADERS64 header64 = (PIMAGE_NT_HEADERS64)headerAddress;
PIMAGE_EXPORT_DIRECTORY exports = NULL;

if (header32->OptionalHeader.Magic == IMAGE_NT_OPTIONAL_HDR32_MAGIC) // PE32
    exports = (PIMAGE_EXPORT_DIRECTORY)(address + header32->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);
else if (header32->OptionalHeader.Magic == IMAGE_NT_OPTIONAL_HDR64_MAGIC) // PE32+
    exports = (PIMAGE_EXPORT_DIRECTORY)(address + header64->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);
else
    return 0;

另请注意，如果您尝试从文件手动加载的图像（例如文件的原始映射）执行此操作，则需要通过查找内存地址将 RVA 转换为文件偏移量部分列表以识别文件指针位置。