EAT表

Posted mhpcuit

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了EAT表相关的知识,希望对你有一定的参考价值。

0X0 EAT表

在windows系统中,“库”是为了方便其他程序调用而集中包含相关的函数的文件(dll,sys).win32 API是最具有代表性的库。
EAT是一种核心机制,它使不同的应用程序可以调用库文件中提供的函数。也就是说,只有通过EAT表才能准确的求得从相应的库中导出函数的起始地址。
PE文件内的结构体(IMAGE_EXPORT_DIRECTORY)保存着导出信息,且PE文件中仅有一个用来说明库EAT的IMAGE_EXPORT_DIRECTORY结构体

0X01 IMAGE_EXPORT_DIRECTORY结构体

我们可以在PE文件头 IMAGE_EXPORT_DIRECTORY的位置,IMAGE_OPTIONAL_HEADER32.DataDirectory[0].VirtualAddress就是该结构体数组的起始地址。

IMAGE_EXPORT_DIRECTORY 结构体代码如下

typedef struct _IMAGE_EXPORT_DIRECTORY {
	DWORD Characteristics;			//保留 总是定义为0
	DWORD TimeDateStamp;			//文件生成时间
	WORD  MajorVersion;				//主版本号 一般不赋值
	WORD  MinorVersion;				//次版本号 一般不赋值
	DWORD Name;						//模块的真实名称
	DWORD Base;						//索引基数 加上序数就是函数地址数组的索引值
	DWORD NumberOfFunctions;		//地址表中个数
	DWORD NumberOfNames;			//名称表的个数
	DWORD AddressOfFunctions;		//输出函数地址的RVA
	DWORD AddressOfNames;			//输出函数名字的RVA
	DWORD AddressOfNameOrdinals;	//输出函数序号的RVA
} IMAGE_EXPORT_DIRECTORYM, *pIMAGE_EXPORT_DIRECTORY;

IMAGE_EXPORT_DIRECTORY 结构体的重要成员

项目 含义
NumberOfFunctions 实际Export函数的个数
NumberOfNames Export函数中具名函数的个数
AddressOfFunctions Export函数地址数组(数组元素个数=NumberOfFunctions)
AddressOfNames 函数名称地址数组(数组元素个数=NumberOfNames)
AddressOfNameOrdinals Ordinal地址数组(数组元素个数=NumberOfNames)

下图是描述kernel32.dll文件的IMAGE_EXPORT_DIRECTORY 结构体与整个EAT结构
技术图片

0x02 获取库函数的操作原理

从库中获取函数的API为GetProAddress()函数。该API引用EAT来获取指定API的地址,下面说明GetProAddress()函数的流程。

GetProAddress()操作原理

(1) 首先我们有一个要查找的函数名字fun_name
(2) 通过IMAGE_EXPORT_DIRECTORYM 获得AddressOfNames成员获取函数名称数组。通过比较(strcmp)字符串,查找出指定的函数名称,获取数组的索引值
(3) 通过IMAGE_EXPORT_DIRECTORYM 获得AddressOfNameOrdinals成员获取函数名称数组,将获取的数组索引值作为AddressOfNameOrdinals数组的下标获取相应的值ordinal
(4) 通过IMAGE_EXPORT_DIRECTORYM 获得AddressOfFunctions成员获取函数名称数组。并把ordinal作为AddressOfFunctions数组的下标,获取指定函数的地址

提示

对于没有函数名称的导出函数,可以通过Ordinal查找它们地址。从Ordinal值减去IMAGE_EXPORT_DIRECTORY.Base成员最后一个值,使用该值作为"函数地址数组"(AddressOfFunctions)的索引,即可查找到相应的函数地址。

0x03 使用user32.dll练习

1 查找EAT表的地址
通过PEview查看user32.dll RVA 3900 => RAW 2D00
技术图片

2 查出来EAT表的RAW为 2D00
技术图片

EAT结构体中的含义

名称 数据(RVA) RAW
Characteristics 0 0
TimeDateStamp 48025D7A 0
MajorVersion 0000 0
MinorVersion 0000 0
Name 000055C0 49C0
Base 00000001 0
NumberOfFunctions 000002DC 0
NumberOfNames 000002DC 0
AddressOfFunctions 00003928 2D28
AddressOfNames 00004498 3898
AddressOfNameOrdinals 00005008 4408

3 查看函数名称组

AddressOfNames是一个 4个字节RVA组成的数组,AddressOfNameOrdinals是一个2个字节组成的数组,AddressOfFunctions 是由4个字节 函数地址组成的数组
我们查找第一个函数名的地址来演示整个流程 首先找到AddressOfNames 在文件中的首地址RAW 3898

技术图片

RVA 55CB => RAW 49CB 转换成文件偏移
技术图片

这个为一个函数,序号为0,下一步需要查找AddressOfNameOrdinals中索引为0中的数据
技术图片

从数组中取出数据为零,则在AddressOfFunctions 数组查找下标为0的数组
技术图片

RVA 00018673
用OllDbg查看user32.dll 看到 ImageBase=77D10000
所以该ActivateKeyboardLayout函数的实际地址为 77D10000+18673=77D28673
技术图片

0x04 寻找函数地址示意图

技术图片

















以上是关于EAT表的主要内容,如果未能解决你的问题,请参考以下文章

从底部工作表对话框片段中获取价值

如何将 Hive 表中的所有时间戳转换为 EAT

JavaScript笔试题(js高级代码片段)

自定义控件eat loading 自定义控件实现

如果 textarea 包含 "eat" 则输出一行文本说 "something"

EF6 自定义迁移表名