Alle Dlls mit Adressen einer Anwendung auflisten

[Kutzn (Gast)]

Hallo Leute,

Möchte mir ein Tool schreiben, mit dem ich alle Dlls's (Name und 
Start/Endadresse) einer Anwendung ermitteln kann.

Bis jetzt habe ich dafür immer IDA genutzt.
Das Programm ist mir aber zu "überladen". Es kann weit mehr, als ich 
benötige.

Weis jemand die von mir benötiften API aaufrufe, damit ich mich einlesen 
kann?

[awe (Gast)]

http://xprofan.com/intl/de/anwendungen/tnt-tasks-and-token/?&pg=2

[Peter II (Gast)]

depends?

start und end-adresse können sich doch ändern, das legt doch das BS fest 
oder nicht?

[Kan a. (Firma: Basta) (kanasta)]

Nunja, du öffnet die EXE, liest im PE Header nach wo der Import Table 
liegt, und liest dort Dll-Namen und Adressen aus. Der Import Table mit 
seinen parallelen Arrays ist nicht die hübscheste Datenstruktur, aber 
ok. Spezielle APIs (außer CreateFile,ReadFile) brauchst dafür keine.

[Rufus Τ. F. (rufus)]

Wenn ein MS-Compiler installiert ist, dann gibt es das Tool dumpbin, das 
solche Aufgaben für einen erledigt.

Das sieht dann auf einem 64-Bit-Windows mit VS2010 so aus:

c:\>dumpbin c:\windows\system32\notepad.exe /imports

Microsoft (R) COFF/PE Dumper Version 10.00.40219.01
Copyright (C) Microsoft Corporation.  All rights reserved.


Dump of file C:\Windows\system32\notepad.exe

File Type: EXECUTABLE IMAGE

  Section contains the following imports:

    ADVAPI32.dll
             10000C000 Import Address Table
             10000D1E8 Import Name Table
              FFFFFFFF time date stamp
              FFFFFFFF Index of first forwarder reference

           7FF7FF21ED0   27E RegSetValueExW
           7FF7FF2C2D0   26E RegQueryValueExW
           7FF7FF21F00   23C RegCreateKeyW
           7FF7FF30710   230 RegCloseKey
           7FF7FF306F0   261 RegOpenKeyExW
           7FF7FF30720   180 IsTextUnicode
           7FF7FF27E04    57 CloseServiceHandle
           7FF7FF1C2A8   1F9 OpenSCManagerW
           7FF7FF1C2C0   1FB OpenServiceW
           7FF7FF1C6FC   224 QueryServiceConfigW

    KERNEL32.dll
             10000C058 Import Address Table
             10000D240 Import Name Table
              FFFFFFFF time date stamp
              FFFFFFFF Index of first forwarder reference

              78D2CF20   209 GetLocalTime
              78D2D3F0   1CF GetDateFormatW
              78D2DDE0   29E GetTimeFormatW
              78D6EC10   2C6 GlobalLock
              78D6EA20   2CD GlobalUnlock

Korrespondierend gibt es auch die Option /exports, die mit DLLs 
aufgerufen interessante Resultate liefert:

Microsoft (R) COFF/PE Dumper Version 10.00.40219.01
Copyright (C) Microsoft Corporation.  All rights reserved.


Dump of file mspdb100.dll

File Type: DLL

  Section contains the following exports for mspdb100.dll

    00000000 characteristics
    4BA1D68B time date stamp Thu Mar 18 08:30:19 2010
        0.00 version
           1 ordinal base
         193 number of functions
         193 number of names

    ordinal hint RVA      name

          1    0 0002F180 ??0SymTiIter@@QAE@PAUSYMTYPE@@@Z
          2    1 0002F1C0 ??0TypeTiIter@@QAE@PAUTYPTYPE@@@Z
          3    2 00027B20 ?CloseAllTimeoutPDB@PDB@@SAHXZ
          4    3 00027AE0 ?ExportValidateImplementation@PDB@@SAHK@Z
          5    4 00027A90 ?ExportValidateInterface@PDB@@SAHK@Z
          6    5 00019070 ?FCreateSrcHash@SrcHash@@SA_NAAPAU1@W4HID@1@@Z
          7    6 00027BE0 ?FOpen@MREngine@@SGHPAPAU1@PAUMreToPdb@@HH@Z
          8    7 00027B90 ?FOpen@MREngine@@SGHPAPAU1@PAUPDB@@PAUNameMap@@HH@Z
          9    8 00018BD0 ?FOpen@MREngine@@SGHPAPAU1@PBDAAJQADHH@Z
         10    9 00027C20 ?FOpenW@MREngine@@SGHPAPAU1@PBGAAJPAGIHH@Z
         11    A 000174C0 ?MapLeafStToSz@@YAII@Z
         12    B 000175B0 ?MapSymRecStToSz@@YAII@Z
         13    C 00027990 ?Open2W@PDB@@SAHPBGPBDPAJPAGIPAPAU1@@Z
         14    D 000279C0 ?OpenEx2W@PDB@@SAHPBGPBDJPAJPAGIPAPAU1@@Z
         15    E 00027920 ?OpenInStream@PDB@@SAHPAUIStream@@PBDPAJPAGIPAPAU1@@Z
         16    F 00027960 ?OpenNgenPdb@PDB@@SAHPBG0PAJPAGIPAPAU1@@Z

(Und man erkennt, daß das offensichtlich eine C++-DLL ist, der 
dekorierten Namen wegen)