如何获取delphi生成的EXE的VMT表的地址（位置）

Question

我需要枚举用 delphi 编写的外部应用程序中使用的类 ，所以我需要访问VMT表来获取该信息，但我找不到任何关于如何在exe（由delphi生成）文件中查找VMT（虚拟方法表）的位置（地址）的文档。

Answer 1

.exe 文件中没有一个 VMT。每个班级都有自己的 VMT。据我所知，没有可靠的方法来枚举可执行文件中的类。我假设可执行文件只是一个文件。唯一的方法是分析此类数据如何存储在 .exe 文件中。

但即使 .exe 正在运行，并且您可以访问其中一个对象，您也只能找到该对象的类的 VMT（在对象的偏移量 0 处）。这也将使您能够访问该类的基类，但仅此而已。

Answer 2

请注意，运行时类型信息存在差异，并且只有 VMT。如果您需要 RTTI 而不是 VMT 的类型信息（例如方法和类型的名称）；如果您可以访问 VMT（您可以通过类类型的 RTTI 进行类型访问，请参见下文），则 VMT 将包含指向方法的指针列表，并且没有方法 mname、参数信息等。Delphi 不会为每个 VMT 创建类似 IDispatch 的信息以及每个类/接口..

直到 Delphi 2007，您都没有所有类型的列表，以后的版本可能是相同的，但我不确定。如果你有一个映射文件，你可以从中获取一些数据，或者你可以使用一些启发式方法来搜索该文件：Delphi 中的类型总是以指向 self 的指针开头（例如 e PPTypeInfo 指向 PTypeInfo）。由于 PTypeinfo 也具有特定的格式，因此您可以通过扫描可执行文件轻松检测到这些格式。

找到 PTypeInfo 后，您可以解析后面的数据，生成类型名称，然后获得 TypeData。对于此处的类类型，您可以找到指向包含正偏移量的 VMT 的类的指针。包含已发布方法/属性的类型将在类型数据之后显示这些内容。您可以在 TypInfo 单元中找到结构的所有详细信息。

除了映射文件之外，您永远找不到所有方法的所有地址；只有具有 RTTI 的方法（例如已发布的方法）才有具有名称的地址。只有选定的一组类型具有 RTTI（后来 Delphi 具有新的 RTTI 信息，但我不知道它们在模块中的构造）。

祝你好运。

Answer 3

是的，在某种程度上是可能的！

为了描述它，您需要一种用于EXE文件的类浏览器，类似于IDE对帕斯卡单元的处理方式。

• 交互式 Delphi Reconstructor 是这一概念的最佳高级应用之一。

• DeDe 3.50.02 Build 1619 (包含源代码？）。

Revendepro的源代码说明了解决该问题的方法。

摘自http://www.ggoossen.net/revendepro/findingClasses.html（现在似乎是一个死链接）：

---

  I := Code - vmtSelfPtr;
  while I < Code + CodeSize do
  begin
    // vmtSelfPtr must point to itself.
    if PPChar(I + vmtSelfPtr)^ = I then
    begin
        if PPChar(I + vmtParent)^ = nil then
        try
          // If no classParent then class can be object
          if (not UsePackages) and (TClass(I).ClassName = 'TObject') then
            // if class if object add it to classes.
            Add(TClass(I))
        except
          on EAccessViolation do
        end
        else
          // className must be in the code section.
          // classParent must be in the code section or the import section (when it is imported).
          if (PPChar(I + vmtClassName)^ <= Code + CodeSize) and
             (PPChar(I + vmtClassName)^ >= Code) and
             (((PPChar(I + vmtParent)^ <= Code + CodeSize) and
               (PPChar(I + vmtParent)^ >= Code)) or
              ((PPChar(I + vmtParent)^ <= ImportStart + ImportSize) and
               (PPChar(I + vmtParent)^ >= ImportStart))) then
          // Add possible class to possible class list.
          PossClasses.Add(I);
    end;
    Inc(I, 4);
  end;
   // Can't be more then 1 TObject.
  if (not TPEFileClass(PEFileClass).UsePackages) and (Count > 1) then
    raise EDecompilerError.Create('There can only be one TObject.');

---

  // If no classParent then class can be object
  if TClass(I).ClassName = 'TObject' then
    Add(TClass(I)) // if class if object add it to classes.

---

    // Add Classes to the list which parent is in the list.
  repeat
    Added := False;
    for J := PossClasses.Count -1 downto 0 do
    begin
      // Try to find parent class in classList
      if FindClass(TClass(PossClasses[J]).ClassParent) <> nil then
      begin
        // Class in class list
        Add(PossClasses[J]);
        PossClasses.Delete(J);
        Added := True;
      end;
      // Try to find parent class in a other package.
      for K := 0 to High(PEFiles) do
        if PEFiles[K].Classes.FindClass(TClass(PossClasses[J]).ClassParent) <> nil then
        begin
          // Class in class list
          Add(PossClasses[J]);
          PossClasses.Delete(J);
          Added := True;
          Break;
        end;
    end;
  until not Added;

免责声明：我从未测试过这些代码。