我今天在解析 Windows 可移植可执行文件结构时遇到了一个非常奇怪的问题。特别是在导出表中。
在尝试解析 DLL 中导出函数的函数地址时，我发现自己遇到了 Stack Overflow（因此这似乎是最合适的 QA 板）。
我编写了自己的版本，GetProcAddress手动进行解析而不是调用现有GetProcAddress方法。请不要只告诉我使用现有的GetProcAddress方法，它不适合我目前的情况，我想从中学习一些东西。
对于我遇到的大多数情况，我的版本运行良好，没有遇到任何问题。然而，该函数已针对名为API-MS-Win-Core-ProcessThreads-L1-1-0.dll（作为递归解析的一部分Kernel32.dll）的 DLL 进行了测试，这就是 StackOverflow 发生的时间。
我已将其范围缩小到从以下导出的函数API-MS-Win-Core-ProcessThreads-L1-1-0.dll：
CreateRemoteThreadEx
现在，这个导出的函数实际上是一个转发导出。通常这不用担心；我已经编写了我的函数，以便它应该处理转发的导出。然而这个函数被转发到
api-ms-win-core-processthreads-l1-1-0.CreateRemoteThreadEx
有人在这里看到问题吗？单步执行代码，GetProcAddress然后我的函数调用LoadLibrary并api-ms-win-core-processthreads-l1-1-0尝试递归查找CreateRemoteThreadEx。然而，在下一次迭代中，该CreateRemoteThreadEx函数再次被转发......
api-ms-win-core-processthreads-l1-1-0.CreateRemoteThreadEx
StackOverflow 就这样开始了。经过一番调查，我发现调用的结果
LoadLibraryA("api-ms-win-core-processthreads-l1-1-0");
返回相同的结果
LoadLibraryA("kernel32.dll");
我难住了。
这是我当前的代码：
#include <Windows.h>
#define MKPTR(p1,p2) ((DWORD_PTR)(p1) + (DWORD_PTR)(p2))
INT LookupExport(IMAGE_DOS_HEADER* pDosHd, DWORD* pNames, DWORD nNames, LPCSTR lpProcName)
{
// Do a binary search on the name pointer table
INT start = 0,
index = -1,
middle = -1,
end = nNames - 1,
cmp = 0;
CHAR *pName;
while (start <= end && index == -1)
{
middle = (start + end) >> 1;
pName = (CHAR*)MKPTR(pDosHd, pNames[middle]);
if ((cmp = strcmp(pName, lpProcName)) == 0)
index = middle; // found
else if (cmp < 0)
start = middle + 1;
else
end = middle;
}
return index;
}
FARPROC InternalGetProcAddress(HMODULE hModule, LPCSTR lpProcName)
{
BOOL ordinalSearch = HIWORD(lpProcName) == 0;
WORD ordinal = 0;
IMAGE_DOS_HEADER *pDosHd = (IMAGE_DOS_HEADER*)hModule;
if (pDosHd->e_magic != IMAGE_DOS_SIGNATURE)
return NULL;
IMAGE_NT_HEADERS *pNtHd = (IMAGE_NT_HEADERS*)MKPTR(pDosHd, pDosHd->e_lfanew);
if (pNtHd->Signature != IMAGE_NT_SIGNATURE)
return NULL;
IMAGE_DATA_DIRECTORY directory = pNtHd->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT];
if (directory.Size == 0 || directory.VirtualAddress == 0)
return NULL;
IMAGE_EXPORT_DIRECTORY *pExports = (IMAGE_EXPORT_DIRECTORY*)MKPTR(pDosHd, directory.VirtualAddress);
if (!ordinalSearch)
{
INT index = LookupExport(pDosHd, (DWORD*)MKPTR(pDosHd, pExports->AddressOfNames), pExports->NumberOfNames, lpProcName);
if (index == -1)
return NULL;
ordinal = ((WORD*)MKPTR(pDosHd, pExports->AddressOfNameOrdinals))[index];
}
else
{
ordinal = LOWORD(lpProcName);
}
INT delta = pExports->Base - 1;
DWORD dwAddress = ((DWORD*)MKPTR(pDosHd, pExports->AddressOfFunctions))[ordinal - delta];
// Check whether forwarded:
if (dwAddress >= directory.VirtualAddress && dwAddress < (directory.VirtualAddress + directory.Size))
{
CHAR pForward[256];
strcpy(pForward, (CHAR*)MKPTR(pDosHd, dwAddress));
CHAR *pFunction = strchr(pForward, '.');
if (pFunction == NULL)
return NULL;
// break into seperate parts and recurse
*pFunction++ = 0;
return InternalGetProcAddress(LoadLibraryA(pForward), pFunction);
}
return (FARPROC)MKPTR(hModule, dwAddress);
}
任何见解将不胜感激。