📄 jiurl pe 格式学习总结（三）-- pe文件中的输入函数.htm
字号:
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<!-- saved from url=(0062)http://jiurl.cosoft.org.cn/jiurl/document/jiurlpe/jiurlpe3.htm -->
<HTML><HEAD><TITLE>JIURL's PE 3</TITLE>
<META content="text/html; charset=gb2312" http-equiv=Content-Type>
<META content=黑客,安全,网络,编程,黑客软件,安全软件,hacker,UNIX,Linux,FreeBSD name=keywords>
<META content=黑客,安全,网络,编程,黑客软件,安全软件,hacker,UNIX,Linux,FreeBSD name=description>
<STYLE type=text/css>.title {
FONT-FAMILY: "黑体", Arial, sans-serif; FONT-SIZE: 21px; FONT-WEIGHT: bold; LINE-HEIGHT: 48px; TEXT-DECORATION: none
}
.author {
FONT-FAMILY: "宋体"; FONT-SIZE: 12px; LINE-HEIGHT: 16px
}
.content {
FONT-SIZE: 14px; LINE-HEIGHT: 20px
}
</STYLE>
<META content="MSHTML 5.00.2614.3500" name=GENERATOR></HEAD>
<BODY bgColor=#f7f7f7 topMargin=5>
<DIV align=center>
<CENTER>
<TABLE border=0 cellPadding=0 cellSpacing=0 height=29 width="96%">
<TBODY>
<TR>
<TD class=title height=41 width="100%">
<P align=center><FONT face=宋体><B>JIURL PE 格式学习总结（三）--
PE文件中的输入函数</B></FONT></P></TD></TR></CENTER>
<TR>
<TD class=author height=9 width="100%">
<P align=center>作者: <A href="mailto:jiurl@mail.china.com">JIURL</A>
</P></TD></TR>
<TR>
<TD class=author height=6 width="100%">
<P
align=center>
主页: <A href="http://jiurl.yeah.net/">http://jiurl.yeah.net/</A> </P></TD></TR>
<TR>
<TD class=author height=2 width="100%">
<P align=center> 日期: 2003-4-24
</P></TD></TR></TBODY></TABLE></DIV>
<DIV align=center>
<CENTER>
<TABLE border=0 cellPadding=0 cellSpacing=0 height=1 width="96%">
<TBODY>
<TR>
<TD height=1 width="100%">
<HR color=#396da5 SIZE=3>
</TD></TR></TBODY></TABLE></CENTER></DIV>
<DIV align=center>
<TABLE border=0 cellPadding=0 cellSpacing=0 class=content height=3194
width="96%">
<TBODY>
<TR>
<TD height=4100 vAlign=top width="131%">
关于输入部分，我们将详细介绍关于输入函数的各种结构，通过一个例子来说明输入函数及其相关结构是怎么放在PE文件中的。以及如何在PE文件中找到这些东西。
<P><B>一 找到输入部分在文件中位置。</B></P>
<P>1.1 得到PE Header在文件中的位置。<BR> 通过DOS
Header结构的成员e_lfanew，可以确定PE Header的在文件中的位置。</P>
<P>1.2 得到文件中节的数目。<BR> 确定PE Header的在文件中的位置之后，就可以确定PE
Header中的成员FileHeader和成员OptionalHeader在文件中的位置。根据 FileHeader 中的
成员NumberOfSections 的值，就可以确定文件中节的数目，也就是节表数组中元素的个数。<BR><BR>1.3
得到节表在文件中的位置。<BR> PE Header在文件中的位置加上PE
Header结构的大小就可以得到节表在文件中的开始位置。PE
Header结构的大小可以由Signature的大小加上FileHeader的大小再加上FileHeader中的SizeOfOptionalHeade来确定。其实到目前为止SizeOfOptionalHeade也就是结构Optional
Header的大小也是固定的,所以整个PE
Header结构的大小也是固定。不过为了安全起见，还是用Signature的大小加上FileHeader的大小再加上FileHeader中的SizeOfOptionalHeade来确定比较保险。</P>
<P>1.4 得到输入部分在文件中的位置。<BR>
第1.2步中我们确定了文件中节的数目，第1.3步中我们确定了节表在文件中的位置。<BR>
现在来确定输入部分在文件中的位置。<BR> 取得PE Header中的Optional
Header中的DataDirectory数组中的第二项，<BR>也就是输入部分项。DataDirectory[]数组的每项都是IMAGE_DATA_DIRECTORY结构，该结构定义如下。<BR>typedef
struct _IMAGE_DATA_DIRECTORY {<BR>DWORD VirtualAddress;<BR>DWORD
Size;<BR>} IMAGE_DATA_DIRECTORY,
*PIMAGE_DATA_DIRECTORY;<BR>取得DataDirectory数组中的第二项中的成员VirtualAddress的值。这个值就是在内存中资源节的RVA。<BR>如果这个RVA的值为0表示这个PE文件中没有输入部分。<BR>然后根据节的数目，遍历节表数组。也就是从0到(节表数-1)的每一个节表项。<BR>每个节在内存中的RVA的范围是从该节表项的成员VirtualAddress字段的值开始（包括这个值），<BR>到VirtualAddress+Misc.VirtualSize的值结束（不包括这个值）。<BR>我们遍历整个节表，看我们取得的输入部分的RVA，在哪个节表项的RVA范围之内。<BR>如果在范围之内，就找到了输入部分所在节的节表项。<BR>这个节表项中的
PointerToRawData 中的值，就是输入部分所在节在文件中的位置。这个节表项中的VirtualAddress
中的值，就是输入部分所在节在内存中的RVA。用输入部分的RVA减去输入部分所在节的RVA,就可以得到输入部分在该节内偏移。用这个偏移加上该节的在文件中的位置，就可以得到输入部分在文件中的位置。即DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress
- SectionTable[i].VirtualAddress + SectionTable[i].PointerToRawData
。<BR><BR>这样我们就得到了输入部分在文件中开始的位置。</P>
<P><B>二 PE文件中的输入部分。</B></P>
<P><B>
</B>输入部分，如果要调用别的PE文件中的输出函数，需要那些东西呢？首先需要知道所需函数在哪个文件中，比如函数 NtRaiseHardError
就在PE文件 ntdll.dll
中。所以我们需要一个文件名。而如何找到某个函数的入口地址呢，我们还需要知道该函数的函数名，或者改函数的序号，通过这两者的任一种，我们就可以找到该函数的入口地址（如果不知道为什么，请看
⌨️ 快捷键说明
复制代码
Ctrl + C
搜索代码
Ctrl + F
全屏模式
F11
切换主题
Ctrl + Shift + D
显示快捷键
?
增大字号
Ctrl + =
减小字号
Ctrl + -