PE文件之导出表

PE文件之导出表

代码重用机制提供了重用代码的动态链接库，它会向调用者说明库里的哪些函数是可以被别人使用的，这些用来说明的信息便组成了导出表。EXE文件中很少有导出表，大部分的DLL文件中都有导出表。

导出表的存在可以让程序的开发者很容易清楚PE中到底有多少可以使用的函数，但如果没有函数使用说明，开发者也只能通过名称、反汇编代码或者运行结果对函数的调用方式、函数的功能等进行猜测。

Windows装载器在进行PE装载时，会将导入表中登记的所有DLL一并装入，然后根据DLL的导出表中对导入函数的描述修正导入表的IAT值。

综上所述，导出表的作用有两个：

DLL示例

下面给出我们自己编写的DLL源代码：

#define HOOKDLL_H __declspec(dllexport)

#include <iostream>
#include "HookDll.h"

#pragma comment(lib, "kernel32.lib")
#pragma comment(lib, "user32.lib")

HHOOK hHook;
HINSTANCE hInstance;

BOOL WINAPI DllMain(HINSTANCE hinstDll, DWORD fdwReason, LPVOID lpvReserved)
{
switch (fdwReason)
{
case DLL_PROCESS_ATTACH:
std::cout << hinstDll << std::endl;
hInstance = hinstDll;
break;
case DLL_THREAD_ATTACH:
break;
case DLL_THREAD_DETACH:
break;
case DLL_PROCESS_DETACH:
break;
default:
break;
}

return TRUE;
}

LRESULT CALLBACK HookProc(int nCode, WPARAM wParam, LPARAM lParam)
{
if (nCode < 0)
return CallNextHookEx(hHook, nCode, wParam, lParam);

switch (wParam)
{
case WM_LBUTTONDOWN:
MessageBox(NULL, TEXT("HookProc: WM_LBUTTONDOWN"), TEXT("HookProc"), MB_OK);
break;
}

return CallNextHookEx(hHook, nCode, wParam, lParam);
}

extern "C" HOOKDLL_H BOOL InstallHook()
{
HWND hWnd = FindWindow(NULL, TEXT("HookTest"));
if (hWnd == NULL)
{
std::cout << "Can't find the window" << std::endl;
return FALSE;
}
DWORD dwThreadId = GetWindowThreadProcessId(hWnd, NULL);
std::cout << dwThreadId << std::endl;
hHook = SetWindowsHookEx(WH_MOUSE, HookProc, hInstance, dwThreadId);
if (hHook == NULL)
{
std::cout << "can't set hook" << std::endl;
return FALSE;
}

return TRUE;
}

extern "C" HOOKDLL_H BOOL UninstallHook()
{
if (hHook)
{
UnhookWindowsHookEx(hHook);
hHook = NULL;
}

return TRUE;
}

我们编译并链接生成可执行文件：HookDll.dll

导出表数据结构

导出表数据为数据目录中注册的数据类型之一，其描述信息处于数据目录的第1个目录项中。

第一项是一个FOA，指向了导出表描述符。下面两张图片分别展示了导出表描述符的hex和数据组织结构：

导入表的IMAGE_IMPORT_DESCRIPTOR个数与调用的动态链接库个数相等，而导出表的IMAGE_EXPORT_DIRECTORY只有一个。

以下是导出表描述符各字段的详细解释：