Jak odczytać nagłówek PE modułu załadowanego do pamięci?

Question

Eksperymentuję z dostępem do pamięci w .NET. W tej chwili mam zarządzany program, który uruchamia proces niezarządzanego i pobiera BaseAddress z jednego z załadowanych modułów (DLL). Chciałbym w jakiś sposób odczytać nagłówek PE załadowanego modułu, aby móc później odzyskać adresy jego eksportu.

Niestety, nie mogę znaleźć żadnych dobrych informacji na ten temat. Jakieś pomysły?

Answer 1

This to dobry punkt wyjścia dla formatu pliku PE.

Możesz P/Wywołać ReadProcessMemory z adresu bazowego, aby skopiować nagłówki do procesu. Będziesz musiał przeanalizować odczytaną pamięć w różnych nagłówkach PE. Pierwszy nagłówek to IMAGE_DOS_HEADER, który wskaże Ci numer IMAGE_NT_HEADERS. Następnie możesz użyć IMAGE_OPTIONAL_HEADER w IMAGE_NT_HEADERS, aby znaleźć położenie pliku IMAGE_EXPORT_DIRECTORY w pliku binarnym.