无法获取DLL转发函数名称：问题排查与解决方法

常见代码错误点及修复 #

• PE基址与RVA转换错误：MinGW环境下加载DLL时，若直接使用文件偏移而非内存基址+RVA的方式计算导出表地址，会导致无法正确定位函数条目。比如直接读取磁盘文件的导出表RVA而未映射到内存基址，或者忽略了DLL加载时的重定位（若未加载到首选基址）。
  修复：用LoadLibraryEx或LoadLibrary将DLL加载到内存，获取模块基址后，把导出表的RVA加上基址得到实际内存地址。

• 导出表遍历逻辑疏漏：未正确判断IMAGE_EXPORT_DIRECTORY中的NumberOfFunctions/NumberOfNames，或者遍历索引时越界，更关键的是没处理函数地址为转发RVA的情况——这类地址并非实际函数内存地址，而是指向转发目标字符串的RVA。
  修复：遍历函数地址表时，检查地址是否落在导出表的RVA范围内（即AddressOfFunctions[i] >= ExportDir->VirtualAddress && AddressOfFunctions[i] < ExportDir->VirtualAddress + ExportDir->Size），满足则为转发函数，读取对应字符串即可。

• 字符处理错误：MinGW默认编码可能导致字符串读取异常，PE文件中的导出函数名和转发字符串均为ASCII编码，需用ANSI字符串函数读取，避免误用宽字符逻辑。

正确获取转发函数的步骤 #

1. 加载DLL到内存：调用LoadLibraryA/LoadLibraryW获取模块句柄，确保DLL被正确映射到进程内存空间。
2. 定位PE结构：从模块基址找到IMAGE_DOS_HEADER，通过e_lfanew跳转至IMAGE_NT_HEADERS。
3. 获取导出表：从IMAGE_NT_HEADERS.OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT]提取导出表的RVA和大小，转换为内存中的IMAGE_EXPORT_DIRECTORY指针。
4. 遍历导出条目：
   • 分别获取函数地址表、名称表、名称索引表的内存地址（RVA+模块基址）。
   • 遍历名称表（按名称输出场景）：通过名称索引表找到对应函数索引，检查函数地址表中的值：
     • 若为转发RVA：将RVA加模块基址得到字符串指针，直接读取即为转发目标（如NTDLL.RtlAcquireSRWLockExclusive）。
     • 若为普通地址：输出函数名、序号、内存地址。

MinGW兼容示例代码 #

#include <windows.h>
#include <stdio.h>

void ParseExportTable(HMODULE hModule) {
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)hModule;
    PIMAGE_NT_HEADERS pNtHeaders = (PIMAGE_NT_HEADERS)((BYTE*)hModule + pDosHeader->e_lfanew);
    
    IMAGE_DATA_DIRECTORY exportDirData = pNtHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT];
    if (exportDirData.Size == 0) {
        printf("无导出表\n");
        return;
    }
    
    PIMAGE_EXPORT_DIRECTORY pExportDir = (PIMAGE_EXPORT_DIRECTORY)((BYTE*)hModule + exportDirData.VirtualAddress);
    
    PDWORD pFuncAddresses = (PDWORD)((BYTE*)hModule + pExportDir->AddressOfFunctions);
    PDWORD pFuncNames = (PDWORD)((BYTE*)hModule + pExportDir->AddressOfNames);
    PWORD pNameOrdinals = (PWORD)((BYTE*)hModule + pExportDir->AddressOfNameOrdinals);
    
    printf("导出表信息:\n");
    printf("  基序号: 0x%08X\n", pExportDir->Base);
    printf("  函数总数: %u\n", pExportDir->NumberOfFunctions);
    printf("  命名函数数: %u\n", pExportDir->NumberOfNames);
    printf("\n导出函数列表:\n");
    
    for (DWORD i = 0; i < pExportDir->NumberOfNames; i++) {
        LPCSTR pFuncName = (LPCSTR)((BYTE*)hModule + pFuncNames[i]);
        WORD ordinal = pNameOrdinals[i] + pExportDir->Base;
        DWORD funcAddrRva = pFuncAddresses[pNameOrdinals[i]];
        
        // 判断是否为转发函数：地址落在导出表RVA范围内
        if (funcAddrRva >= exportDirData.VirtualAddress && 
            funcAddrRva < exportDirData.VirtualAddress + exportDirData.Size) {
            LPCSTR pForwardName = (LPCSTR)((BYTE*)hModule + funcAddrRva);
            printf("  序号: %u, 名称: %s, 转发至: %s\n", ordinal, pFuncName, pForwardName);
        } else {
            LPVOID funcAddr = (LPVOID)((BYTE*)hModule + funcAddrRva);
            printf("  序号: %u, 名称: %s, 地址: 0x%p\n", ordinal, pFuncName, funcAddr);
        }
    }
}

int main() {
    HMODULE hDll = LoadLibraryA("kernel32.dll");
    if (hDll == NULL) {
        printf("加载DLL失败，错误码: %u\n", GetLastError());
        return 1;
    }
    ParseExportTable(hDll);
    FreeLibrary(hDll);
    return 0;
}

编译与注意事项 #

• MinGW编译命令：gcc export_parser.c -o export_parser -lkernel32，需链接kernel32.lib。
• 处理64位DLL时，需使用64位MinGW编译，替换对应PE结构类型（如IMAGE_NT_HEADERS64、DWORD64）。
• 部分DLL仅有序号导出无名称，需遍历NumberOfFunctions而非NumberOfNames。

内容的提问来源于stack exchange，提问作者winapiadmin