再顺便多写一篇PE文件的文章吧，这一篇文章介绍PE文件的导出表。导出表相对来说应该算最简单的，它的关键结构只有一个。本质上导出表的dir只是指示以下信息，dll的名称地址（ANSI字符串），有多少个导出函数，对导出函数有三个数组，分别是序号数组，函数名称（ANSI字符串）地址数组，函数入口地址（RVA）数组。导入表导出表可以说是直接和动态链接技术相关的 DataDirectory 了。
首先还是介绍导出表的唯一一个数据结构（仅列出比较关键的成员）：
（1）IMAGE_EXPORT_DIRECTORY：
（1.1）DWORD Name; 这个DLL名称（ANSI）字符串的地址（RVA）。
（1.2）DWORD Base; 序号数组的计数起始值。（序号数组中的数值加上Base为最终的导出函数序号）
（1.3）DWORD NumberOfFunctions; 导出函数个数。
（1.4）DWORD NumberOfNames; 函数名个数。这个值通常应该和 NumberOfFunctions 相同（即所有导出函数都应该有一个名称）。
（1.5）DWORD AddressOfFunctions; 函数地址RVA的数组。
（1.6）DWORD AddressOfNames; 存储函数名称（ANSI）字符串的地址（RVA）的数组的地址（RVA）。
（1.7）DWORD AddressOfNameOrdinals; 存储函数序号的数组的地址（RVA）。
按照惯例，下面是导出表的结构示意图：
下面是读取导入表的代码，由于我的项目属性中使用的是unicode字符串，所以我在使用那些ANSI字符串之前，需要做一次到unicode的转换：
code_load_exportTable
//加载导出表
void CPERcViewDlg::LoadExportTable(LPBYTE lpBaseAddress, PIMAGE_NT_HEADERS pNtHeaders, DWORD rva)
{
int i;
TCHAR wcsBuffer[256], nodeText[256];
HTREEITEM hItem_Export = NULL;
PIMAGE_EXPORT_DIRECTORY pExportTable = (PIMAGE_EXPORT_DIRECTORY)ImageRvaToVa(
pNtHeaders,
lpBaseAddress,
rva,
NULL
);
_stprintf(nodeText, _T("ExportTable (FileAddress: %08X)"), (DWORD)pExportTable - (DWORD)lpBaseAddress);
hItem_Export = m_tree.InsertItem(nodeText, TVI_ROOT, TVI_LAST);
//dll名称（char*）
LPCSTR szDllName = (LPCSTR)ImageRvaToVa(
pNtHeaders, lpBaseAddress,
pExportTable->Name,
NULL);
//把ANSI的名称转换到unicode
::MultiByteToWideChar(CP_ACP, MB_PRECOMPOSED, szDllName, -1, nodeText, sizeof(nodeText)/sizeof(TCHAR));
//append dll name node
HTREEITEM hDllName = m_tree.InsertItem(nodeText, hItem_Export, TVI_LAST);
//现在加载每个节点
DWORD ImageBase = pNtHeaders->OptionalHeader.ImageBase;
//以下全部是RVA。换算到数组入口处的VA：
PDWORD pFunctions = (PDWORD)ImageRvaToVa(
pNtHeaders, lpBaseAddress,
pExportTable->AddressOfFunctions,
NULL);
PWORD pOrdinals = (PWORD)ImageRvaToVa(
pNtHeaders, lpBaseAddress,
pExportTable->AddressOfNameOrdinals,
NULL);
BOOL hasNames = (pExportTable->AddressOfNames != 0);
PDWORD pNames = NULL;
if(hasNames)
{
pNames = (PDWORD)ImageRvaToVa(
pNtHeaders, lpBaseAddress,
pExportTable->AddressOfNames,
NULL);
}
for(i=0; i<pExportTable->NumberOfFunctions; i++)
{
//函数名称
if(hasNames)
{
LPCSTR szFuncName = (LPCSTR)ImageRvaToVa(
pNtHeaders, lpBaseAddress,
pNames[i],
NULL);
//转换成unicode
::MultiByteToWideChar(CP_ACP, MB_PRECOMPOSED, szFuncName, -1, wcsBuffer, sizeof(wcsBuffer)/sizeof(TCHAR));
}
_stprintf(nodeText, _T("Ordinal: %ld %s, VA: %08X"),
pExportTable->Base + pOrdinals[i],
hasNames? wcsBuffer : _T("(null)"),
ImageBase + pFunctions[i]
);
m_tree.InsertItem(nodeText, hDllName, TVI_LAST);
}
}
最后导出函数加载到 TreeCtrl 的效果如下：
【补充内容】关于pragma：
（1）指定内容在 obj 文件中所在的段，具体用法参考MSDN（不太常用），以下分别是代码（函数），初始化数据，未初始化数据，常量：
#pragma code_seg( [ [ { push | pop}, ] [ identifier, ] ] [ "segment-name" [, "segment-class" ] )
#pragma data_seg( [ [ { push | pop }, ] [ identifier, ] ] [ "segment-name" [, "segment-class" ] )
#pragma bss_seg( [ [ { push | pop }, ] [ identifier, ] ] [ "segment-name" [, "segment-class" ] )
#pragma const_seg( [ [ { push | pop}, ] [ identifier, ] ] [ "segment-name" [, "segment-class" ] )
（2）在某个obj文件中指定一个在链接时需要搜索的库（比较常用）：
#pragma comment( lib, "emapi" )
【参考资料】
（1）看雪论坛精华8；
（2）winnt.h；