从可移植可执行文件的 .idata 部分打印出隐式链接 dll 的名称

Question

我正在尝试编写一个代码，该代码应该使用 exe 的 .idata 部分中的 IMAGE_IMPORT_DESCRIPTOR 结构的“名称”字段打印出 exe 中所有导入的 dll 的名称，但程序似乎陷入无限循环。谁能告诉我如何正确打印出名字...

    #include<iostream>
    #include<Windows.h>
    #include<stdio.h>
    #include<WinNT.h>

    int main()
    {
        FILE *fp; 
        int i;

        if((fp = fopen("c:\\Linked List.exe","rb"))==NULL)
            std::cout<<"unable to open";


        IMAGE_DOS_HEADER imdh;
        fread(&imdh,sizeof(imdh),1,fp);
        fseek(fp,imdh.e_lfanew,0);

        IMAGE_NT_HEADERS imnth;
        fread(&imnth,sizeof(imnth),1,fp);

        IMAGE_SECTION_HEADER *pimsh;
        pimsh = (IMAGE_SECTION_HEADER *)malloc(sizeof(IMAGE_SECTION_HEADER) * imnth.FileHeader.NumberOfSections);

        long t;

        fread(pimsh,sizeof(IMAGE_SECTION_HEADER),imnth.FileHeader.NumberOfSections,fp);

        for(i=0;i<imnth.FileHeader.NumberOfSections;i++)
        {
            if(!strcmp((char *)pimsh->Name,".idata"))
                t = pimsh->PointerToRawData;
            pimsh++;
        }

        fseek(fp,t,0);

        IMAGE_IMPORT_DESCRIPTOR iid;
        char c;

        while(1)
        {
            fread(&iid,sizeof(iid),1,fp);

            if(iid.Characteristics == NULL)
                break;

            t = ftell(fp);

            fseek(fp,(long)iid.Name,0);

            while(c=fgetc(fp))
                printf("%c",c);
            printf("\n");

            fseek(fp,t,0);

        }
    }

Answer 1

有几个问题。

• 您不能假定导入部分称为“.idata”。您应该使用IMAGE_OPTIONAL_HEADER.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT] 定位导入。

• PE 文件中的大多数偏移量是相对虚拟地址 (RVA)，而不是文件偏移量。要将 RVA 转换为偏移量，您需要确定虚拟地址位于哪个部分，然后根据该部分在文件中的位置计算偏移量。具体来说，IMAGE_IMPORT_DESCRIPTOR.Name 字段包含 RVA，而不是文件偏移量。

• 如果您使用内存映射文件而不是文件 I/O，您的代码会更简单（也更快）。

This MSDN article 解释 RVA、数据目录等。它还包括 pedump，一个用于转储 PE 文件的完整源代码的应用程序，这是一个有用的参考。

Answer 2

mox 的答案在所有方面都是正确的，但是我还想添加另一个解决方案 - 将文件加载为图像以读取数据。
使用LoadLibraryEx 只需一行代码即可非常简单地实现这一点。

Base = LoadLibraryEx("c:\Linked List.exe", 0, DONT_RESOLVE_DLL_REFERENCES);

这会将您的可执行文件加载并映射为图像，因此无需打开/读取/映射或将 rva 转换为原始偏移量。

使用 DONT_RESOLVE_DLL_REFERENCES 标志，图像未初始化，因此所有导入数据都未触及，并且入口点代码未执行。可执行文件只是映射到内存中。

您可以简单地使用 Base + Rva 来查找导入的 dll 名称 - 或任何其他类型的 PE 信息。
使用 FreeLibrary(Base)

释放可执行映像