修改导入表HOOK API(ring3_iat_exe_hook_Messagebox)
来源:互联网 发布:sql output 编辑:程序博客网 时间:2024/05/22 07:42
IAT即Import Address Table 是PE(可以理解为EXE)的输入地址表,我们知道一个程序运行时可以要调用多个模块,或都说要调用许多API函数,但这些函数不一定都在EXE本身中,例如你调用Messagebox来显示一个对话框时,你只需要调用它,你并没有编写Messagebox的函数的实现过程,Messagebox的函数的实现过程实际上是在user32.dll这个库文件中,当这个程序运行时会在user32.dll中找到Messagebox并调用它。
那么具体的调入过程是怎样的呢?下面来谈谈其中的重要环节即:IMAGE_IMPORT_BY_NAME,那么IMAGE_IMPORT_BY_NAME的结构到底是什么样子的呢:?下面是引入表图
|
|IMAGE_THUNK_DATAIMAGE_THUNK_DATAIMAGE_THUNK_DATAIMAGE_THUNK_DATA...IMAGE_THUNK_DATA--->--->--->--->--->--->Function 1Function 2Function 3Function 4...Function n<---<---<---<---<---<---IMAGE_THUNK_DATAIMAGE_THUNK_DATAIMAGE_THUNK_DATAIMAGE_THUNK_DATA...IMAGE_THUNK_DATA首先不要被IMAGE_THUNK_DATA这个名字弄糊涂: 它仅是指向 IMAGE_IMPORT_BY_NAME 结构的RVA。OriginalFirstThunk 和 FirstThunk 所指向的这两个数组大小取决于PE文件从DLL中引入函数的数目。比如,如果PE文件从kernel32.dll中引入10个函数,那么IMAGE_IMPORT_DESCRIPTOR 结构的 Name1域包含指向字符串"kernel32.dll"的RVA,同时每个IMAGE_THUNK_DATA 数组有10个元素。为什么我们需要两个完全相同的数组? 为了回答该问题,我们需要了解当PE文件被装载到内存时,PE装载器将查找IMAGE_THUNK_DATA 和 IMAGE_IMPORT_BY_NAME 这些结构数组,以此决定引入函数的地址。然后用引入函数真实地址来替代由FirstThunk指向的 IMAGE_THUNK_DATA 数组里的元素值。因此当PE文件准备执行时,上图已转换成:
|
|IMAGE_THUNK_DATAIMAGE_THUNK_DATAIMAGE_THUNK_DATAIMAGE_THUNK_DATA...IMAGE_THUNK_DATA--->--->--->--->--->--->Function 1Function 2Function 3Function 4...Function n Address of Function 1Address of Function 2Address of Function 3Address of Function 4...Address of Function n我们现在要做的是把后面的地址改成我们自己的函数地址,例如当EXE调用Messagebox时让它转入我们的函数,我们处理完后再转入真正的函数地址。
因此API HOOK和其它HOOK存在本质的区别,可以理解为API劫持,说一行道一万不如动手去实践,下面代码演示了如何HOOK本进程中的Messagebox,当本EXE调用Messagebox时会先转入到我们的函数中,请看清是怎样找到PE的引入表并修改的。
#include <windows.h>
#include <Dbghelp.h>
#pragma comment(lib,"Dbghelp.lib")
#pragma comment(lib,"User32.lib")
typedef int (__stdcall *OLD_MessageBox)( HWND hWnd, LPCTSTR lpText, LPCTSTR lpCaption,UINT uType );
OLD_MessageBox g_procOldMessageBox = NULL;
int __stdcall HOOK_MessageBox( HWND hWnd, LPCTSTR lpText, LPCTSTR lpCaption,UINT uType)
{
printf("%s\t%d\r\n",__FUNCTION__,__LINE__);
if (NULL != g_procOldMessageBox)
return g_procOldMessageBox(hWnd,lpText,"不好意思,hook到了!",uType);
else
return MessageBox(hWnd,lpText,lpCaption,uType); ;
}
int replace_IAT(const char *pDllName,const char *pApiName,bool bReplace)
{
HANDLE hProcess = ::GetModuleHandle (NULL);
DWORD dwSize = 0;
PIMAGE_IMPORT_DESCRIPTOR pImageImport = (PIMAGE_IMPORT_DESCRIPTOR)ImageDirectoryEntryToData(hProcess,TRUE,
IMAGE_DIRECTORY_ENTRY_IMPORT,&dwSize);
if (NULL == pImageImport)
return 1;
PIMAGE_IMPORT_BY_NAME pImageImportByName = NULL;
PIMAGE_THUNK_DATA pImageThunkOriginal = NULL;
PIMAGE_THUNK_DATA pImageThunkReal = NULL;
while (pImageImport->Name)
{
if (0 == strcmpi((char*)((PBYTE)hProcess+pImageImport->Name),pDllName))
{
break;
}
++pImageImport;
}
if (! pImageImport->Name)
return 2;
pImageThunkOriginal = (PIMAGE_THUNK_DATA)((PBYTE)hProcess+pImageImport->OriginalFirstThunk );
pImageThunkReal = (PIMAGE_THUNK_DATA)((PBYTE)hProcess+pImageImport->FirstThunk );
while (pImageThunkOriginal->u1.Function)
{
if ((pImageThunkOriginal->u1 .Ordinal & IMAGE_ORDINAL_FLAG) != IMAGE_ORDINAL_FLAG)
{
pImageImportByName = (PIMAGE_IMPORT_BY_NAME)((PBYTE)hProcess+pImageThunkOriginal->u1 .AddressOfData );
if (0 == strcmpi(pApiName,(char*)pImageImportByName->Name))
{
MEMORY_BASIC_INFORMATION mbi_thunk;
VirtualQuery(pImageThunkReal, &mbi_thunk, sizeof(MEMORY_BASIC_INFORMATION));
VirtualProtect(mbi_thunk.BaseAddress,mbi_thunk.RegionSize, PAGE_READWRITE, &mbi_thunk.Protect);
if (true == bReplace)
{
g_procOldMessageBox =(OLD_MessageBox) pImageThunkReal->u1.Function;
pImageThunkReal->u1.Function = (DWORD)HOOK_MessageBox;
}
else
pImageThunkReal->u1.Function = (DWORD)g_procOldMessageBox;
DWORD dwOldProtect;
VirtualProtect(mbi_thunk.BaseAddress, mbi_thunk.RegionSize, mbi_thunk.Protect, &dwOldProtect);
break;
}
}
++pImageThunkOriginal;
++pImageThunkReal;
}
return 0;
}
int main()
{
replace_IAT("User32.dll","MessageBoxA",true);
MessageBox(NULL,"EnumIAT User32.dll MessageBoxA true;","没有Hook",MB_OK);
replace_IAT("User32.dll","MessageBoxA",false);
MessageBox(NULL,"EnumIAT User32.dll MessageBoxA false;","没有Hook",MB_OK);
return getchar();
}
- 修改导入表HOOK API(ring3_iat_exe_hook_Messagebox)
- 修改导入表HOOK API(ring3_iat_exe_hook_Messagebox)
- 修改导入表HOOK API(ring3_iat_exe_hook_Messagebox)<转>
- 我的学习笔记之二——修改导入表HOOK API(ring3_iat_exe_hook_Messagebox)
- 修改IAT,HOOK API
- 修改IAT,HOOK API
- WIN32汇编实现进程导入表HOOK API
- Hook导入表 —— 实现挂钩FreeLibaray和HOOK延迟加载模块的API
- 修改IAT实现本进程API HOOK
- 用修改IAT法HOOK API
- 修改IAT法来hook api
- 使用API-HOOK修改IAT的地址
- hook api 例子(转)
- 汇编 -- Hook API (MessageBoxW)
- Detours -- Hook API (MessageBoxW)
- 用HOOK来修改API函数的功能(1)-注册表
- 用HOOK来修改API函数的功能(2)-创建文件
- 用HOOK来修改API函数的功能(3)-禁止删除文件
- eclipse 与 myeclipse 的区别
- nm 命令
- IOS APP配置.plist汇总(转自coolweather )
- NetworkSream使用尝试及困惑
- Apache性能优化、超时设置
- 修改导入表HOOK API(ring3_iat_exe_hook_Messagebox)
- 批处理命令获取指定目录下的指定文件夹名并以空格连接
- ClippingNode失效问题解决办法
- 普京访华四大具体问题受关注
- java中I/O流学习笔记
- django--模版系统-过滤器的自定义,两种加载模版(template)的方法
- 文件搜索神器everything 你不知道的技巧总结
- Android Activity切换动画overridePendingTransition
- http://blog.s135.com/nginx_php_v6