如何在C＃中读取（本机）DLL的导出函数名称？

Question

我知道我可以读取PE规范以编写执行此操作的代码。 但是，由于我手上没有很多时间，所以我希望你们中的一些人可能已经准备好了这样的代码样本。

重要提示： 32位和64位之间有什么区别吗？

感谢您的时间！

Answer 1

PE文件导出

与导入函数相反的是导出EXE或其他DLL使用的函数。 PE文件在.edata部分中存储有关其导出函数的信息。 通常，Microsoft链接器生成的PE EXE文件不会导出任何内容，因此它们没有.edata节。 Borland的TLINK32始终从EXE中输出至少一个符号。 大多数DLL都导出函数并具有.edata节。 .edata部分（也称为导出表）的主要组件是函数名称，入口点地址和导出序号值的表。 在NE文件中，导出表的等效项是条目表，常驻名称表和非常驻名称表。 这些表存储为NE头的一部分，而不是存储在不同的段或资源中。

在.edata部分的开头是IMAGE_EXPORT_DIRECTORY结构（参见表10）。 该结构紧跟在结构中的字段指向的数据之后。

表10. IMAGE_EXPORT_DIRECTORY格式

DWORD Characteristics

此字段似乎未使用，始终设置为0。

DWORD TimeDateStamp

时间/日期标记，指示何时创建此文件。

WORD MajorVersion
WORD MinorVersion

这些字段似乎未使用，并设置为0。

DWORD Name

具有此DLL名称的ASCIIZ字符串的RVA。

DWORD Base

导出函数的起始序号。 例如，如果文件导出序数值为10,11和12的函数，则此字段包含10.要获取函数的导出序号，需要将此值添加到AddressOfNameOrdinals数组的相应元素中。

DWORD NumberOfFunctions

AddressOfFunctions数组中的元素数。 该值也是此模块导出的函数数。 从理论上讲，这个值可能与NumberOfNames字段（下一个）不同，但实际上它们总是相同的。

DWORD NumberOfNames

AddressOfNames数组中的元素数。 此值似乎始终与NumberOfFunctions字段相同，导出函数的数量也是如此。

PDWORD *AddressOfFunctions

该字段是RVA并指向一组函数地址。 函数地址是此模块中每个导出函数的入口点（RVAs）。

PDWORD *AddressOfNames

该字段是RVA并指向字符串指针数组。 字符串是此模块中导出函数的名称。

PWORD *AddressOfNameOrdinals

该字段是RVA并指向一组WORD。 WORD是此模块中所有导出函数的导出序号。 但是，不要忘记添加Base字段中指定的起始序号。

导出表的布局有些奇怪（参见图4和表10）。 正如我前面提到的，导出函数的要求是名称，地址和导出序号。 您认为PE格式的设计者会将所有这三个项目放入一个结构中，然后拥有这些结构的数组。 相反，导出条目的每个组件都是数组中的元素。 这些数组中有三个（AddressOfFunctions，AddressOfNames，AddressOfNameOrdinals），它们彼此平行。 要查找有关第四个函数的所有信息，您需要在每个数组中查找第四个元素。

图4.导出表格布局

表11. EXE文件中的典型导出表

Name:            KERNEL32.dll
  Characteristics: 00000000
  TimeDateStamp:   2C4857D3
  Version:         0.00
  Ordinal base:    00000001
  # of functions:  0000021F
  # of Names:      0000021F

  Entry Pt  Ordn  Name
  00005090     1  AddAtomA
  00005100     2  AddAtomW
  00025540     3  AddConsoleAliasA
  00025500     4  AddConsoleAliasW
  00026AC0     5  AllocConsole
  00001000     6  BackupRead
  00001E90     7  BackupSeek
  00002100     8  BackupWrite
  0002520C     9  BaseAttachCompleteThunk
  00024C50    10  BasepDebugDump
  // Rest of table omitted...

顺便提一下，如果您从Windows NT系统DLL（例如，KERNEL32.DLL和USER32.DLL）转储导出，您会注意到在许多情况下，有两个函数只有一个字符在结尾处有所不同。 name，例如CreateWindowExA和CreateWindowExW。 这就是透明地实施UNICODE支持的方式。 以A结尾的函数是ASCII（或ANSI）兼容函数，而以W结尾的函数是函数的UNICODE版本。 在您的代码中，您没有明确指定要调用的函数。 而是通过预处理器#ifdefs在WINDOWS.H中选择适当的函数。 这个来自Windows NT WINDOWS.H的摘录显示了这是如何工作的一个示例：复制

#ifdef UNICODE
#define DefWindowProc  DefWindowProcW
#else
#define DefWindowProc  DefWindowProcA
#endif // !UNICODE

---

//
// Export Format
//

typedef struct _IMAGE_EXPORT_DIRECTORY {
    DWORD   Characteristics;
    DWORD   TimeDateStamp;
    WORD    MajorVersion;
    WORD    MinorVersion;
    DWORD   Name;
    DWORD   Base;
    DWORD   NumberOfFunctions;
    DWORD   NumberOfNames;
    DWORD   AddressOfFunctions;     // RVA from base of image
    DWORD   AddressOfNames;         // RVA from base of image
    DWORD   AddressOfNameOrdinals;  // RVA from base of image
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;

---

编辑：在PE格式导出表不同，功能地址只是64位地址的RVA。

来源： http ： //msdn.microsoft.com/en-us/library/ms809762.aspx