/*
@desc:目前只检测最简单的两种inline hook,对IAT HOOK,CALL HOOK和深层次的INLINE HOOK没检测。
@desc:最好的恢复方法是先恢复IAT HOOK,然后从函数所在文件中提取函数机器码与内存中对比,不同则恢复之
@param1[in]:dwProc:函数地址
*/
bool IsProcHooked(DWORD dwProc)
{
bool bRet = false;
if (!IsBadReadPtr((void*)dwProc,2) &&
((BYTE)((char*)dwProc)[0] == 0xE9 || //最简单的INLINE HOOK,修改函数头五个字节
(WORD)((char*)dwProc)[0] == 0xF9EB)) //修改函数头两个字节短跳
{
bRet = true;
}
return bRet;
}
int _tmain(int argc, _TCHAR* argv[])
{
printf("%d\n",IsProcHooked((DWORD)MessageBoxA));
return 0;
}