便攜式可執行文件導出文件名稱字段

Question

IMAGE_EXPORT_DIRECTORY結構的字段之一是'名稱'。根據COFF規範，該字段包含導出符號的PE文件的名稱。我可以通過編程讀取這個字段。它確實引用了導出符號的文件的名稱。但是，有人可以解釋這個領域的含義嗎？它爲什麼真的存在？它看起來像它可以用作雙重檢查..

Answer 1

字段IMAGE_EXPORT_DIRECTORY包含模塊的內部名稱（即構建模塊時使用的原始名稱）。這在實際文件本身被重命名的情況下非常有用。例如，支持PAE的NT內核命名爲ntkrnlpa.exe。但是，IMAGE_EXPORT_DIRECTORY結構中的Name字段仍包含ntoskrnl.exe。