完美实现GetProcAddress
我们知道kernel32.dll里有一个GetProcAddress函数，可以找到模块中的函数地址，函数原型是这样的：
WINBASEAPI
FARPROC
WINAPI
GetProcAddress(
IN HMODULE hModule,
IN LPCSTR lpProcName
);
hModule 是模块的句柄，说白了就是内存中dll模块的首地址
loProcName 一般指函数名称的字符串地址，也可能是指序号，如何区分呢？
我们这样
if (((DWORD)lpProcName& 0xFFFF0000) == 0)
{
//这里是序号导出的;
}
{
//这里是函数名称导出的
}
最终真找到匹配的函数地址，然后返回就ok了，但是前提是你需要了解PE的导出表
下面简单说一下,首先从PE里找到下面这个结构，如果不知道如何找的话，建议在坛子里搜索一下PE结构解析的文章，找到这个结构应该还是很简单的
typedef struct _IMAGE_EXPORT_DIRECTORY {
DWORD Characteristics;
DWORD TimeDateStamp;
WORD MajorVersion;
WORD MinorVersion;
DWORD Name;
DWORD Base;
DWORD NumberOfFunctions;
DWORD NumberOfNames;
DWORD AddressOfFunctions; // RVA from base of image
DWORD AddressOfNames; // RVA from base of image
DWORD AddressOfNameOrdinals; // RVA from base of image
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;
具体什么意思呢？
虽然， kanxue老大在这里写的很漂亮了都
http://www.pediy.com/tutorial/chap8/Chap8-1-7.htm
我还是打算嗦一下
Base 函数以序号导出的时候的序号基数，从这个数开始递增
NumberOfFunctions 本dll一共有多少个导出函数，不管是以序号还是以函数名导出
NumberOfFunctions 本dll中以能够以函数名称导出的函数个数（注意，说一下，其实函数里的每一个函数都能通过序号导出，但是为了兼容性等等，也给一些函数提供用函数名称来导出）
AddressOfFunctions 指向一个DWORD数组首地址，共有NumberOfFunctions 个元素，每一个元素都是一个函数地址
AddressOfNames 指向一个DWORD数组首地址，共有NumberOfNames个元素，每一个元素都是一个字符串（函数名字符串）首地址
AddressOfNameOrdinals指向一个WORD数组首地址，共有NumberOfNames个元素，每一个元素都是一个函数序号
我们说的最后俩数组，其实是一种一一对应的关系，假如分别叫 dwNames[] 和 dwNamesOrdinals[]，
假如dwNames[5]的值（这个指是一个地址，前面都说了）指向的字符串等于“GetValue”,那么dwNamesOrdinals[5]的值（这个指是一个序号，前面都说了），就是GetValue导出函数的序号啦，那么怎样找到地址呢？
这时候就需要用到第一个数组了，假如名字叫dwFuncAddress[], GetValue的导出地址就是
dwFuncAddress[dwNamesOrdinals[5]] + 模块基址
好了，嗦了这么多，看代码：
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
