无法获取msvcrt.dll内部CRT函数地址，32位PE加载器运行失败

问题背景 #

你开发的32位PE加载器在加载C:\Windows\SysWOW64\calc.exe时，调用GetProcAddress获取msvcrt.dll的__p__fmode、__p__commode、_except_handler4_common三个符号返回错误码127（ERROR_PROC_NOT_FOUND），导致程序运行失败。

关于这三个内部符号的作用 #

• __p__fmode/__p__commode：这两个是CRT内部的全局变量指针，分别控制文件I/O的默认模式（文本/二进制）和文件提交模式，属于msvcrt.dll的未公开导出符号，系统预装的msvcrt版本不会将其暴露给外部调用。
• _except_handler4_common：是CRT结构化异常处理(SEH)的核心分发函数，同样是msvcrt的内部实现符号，并非公开导出接口。

核心原因 #

系统自带的calc.exe依赖的SysWOW64下的msvcrt.dll是系统特定版本，该版本并未公开导出这些内部CRT符号。你的加载器在处理导入表时，直接尝试用GetProcAddress获取未公开符号，必然失败。

可行解决方案 #

1. 模拟CRT初始化，为未公开变量设置默认值 #

对于__p__fmode和__p__commode，可以在加载器中手动分配内存并设置默认值：

• 分配一个DWORD内存块，写入0（对应_O_TEXT和_COMMODE_DEFAULT的默认值），然后将PE导入表中对应指针指向这块内存。
• 示例代码片段：

  DWORD* pFmode = (DWORD*)VirtualAlloc(NULL, sizeof(DWORD), MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
  *pFmode = 0; // 默认文本模式
  // 将导入表中__p__fmode的地址指向pFmode
  

2. 复用当前进程的CRT异常处理函数 #

对于_except_handler4_common，可以从加载器自身依赖的msvcrt.dll中获取该符号地址（因为你的加载器是VS2022编译，其依赖的msvcrt版本包含此符号），然后将目标PE的导入指针指向该地址。

3. 实现延迟导入表解析 #

系统calc.exe可能使用了延迟导入(Lazy Import)机制处理这些内部符号。你的加载器需要添加对IMAGE_DIRECTORY_ENTRY_DELAY_IMPORT的解析逻辑：

• 延迟导入表的符号不会在加载阶段绑定，而是在第一次调用时才通过LdrResolveDelayLoadedAPI完成地址绑定。

4. 排查导入表解析逻辑错误 #

确认加载器是否误将静态CRT符号当成动态导入。如果calc.exe是静态链接CRT，这些符号应该已经存在于PE的.data/.rdata节中，不需要从msvcrt导入，此时你的加载器可能错误解析了导入表项。

调试技巧 #

• 用PE分析工具（如PEView）查看calc.exe的导入表，确认这些符号的导入类型和来源。
• 在加载器中添加日志，打印每个导入符号的名称和GetProcAddress的返回结果，精准定位问题符号。
• 先加载自己用VS2022编译的简单32位测试程序（如HelloWorld），验证加载器的基本功能，再对比系统calc.exe的差异。

内容的提问来源于stack exchange，提问作者Antoine Hazebrouck