IAT HOOK

最近需要用到IAT HOOK，为方便自己，参考了网上的例子，自己封装成了一个类。

首先是PE头定义,文件PE.h

#ifndef _PE_H_
#define _PE_H_
#include <Windows.h>


/**************************************/
/*	PE DOS头，占64个字节，				*/
/*	我们只关心e_magic和e_lfanew			*/
/**************************************/
typedef struct tagIMAGE_DOS_HEADER
{
	byte e_magic[2];	// 4D(M) 5A(Z) 2字节
	byte bXX[58];
	int e_lfanew;		// 4字节
} MY_IMAGE_DOS_HEADER;


/********************************************
/*		数据目录表结构						*/
/********************************************/
typedef struct tagIMAGE_DATA_DIRECTORY 
{
	int   VirtualAddress;
	int   Size;
} MY_IMAGE_DATA_DIRECTORY;


/************************************************************************/
/*	PE头，占4+20+224=248个字节											 */
/*	我们只关心Signature和数据目录表										 */
/************************************************************************/
typedef struct tagIMAGE_PE_HEADER
{
	byte Signature[4]; // 4个字节：50(P) 45(E) 00 00
	byte bXXX[20];	   // IMAGE_FILE_HEADER
	byte bYYY[96];	   // 可选头前面96个字节，我们不关心
	MY_IMAGE_DATA_DIRECTORY DataDirectory[16];
} MY_IMAGE_PE_HEADER;


/************************************************************************/
/*         映像输入结构，一个这样的结构表示一个DLL                       */
/************************************************************************/
typedef struct tagIMAGE_IMPORT_DESCRIPTOR 
{
	int   OriginalFirstThunk;	// 原始的IAT，存放导入的API名字
	int   TimeDateStamp;  
	int   ForwarderChain;
	int   Name;					// 存放导入的DLL名字所在的内存起始RVA地址
	int   FirstThunk;			// 导入该DLL的第一个API接口地址
} MY_IMAGE_IMPORT_DESCRIPTOR;


/************************************************************************/
/*		 THUNK不好翻译呀，一个这样的结构表示一个API输入信息				*/
/************************************************************************/ 
typedef struct tagIMAGE_THUNK_DATA32 
{
	int AddressOfData;  
} MY_IMAGE_THUNK_DATA32;



#endif	// _PE_H_

----------------------------------------------------------------

我的IAT HOOK类头文件:IAT.h

#pragma once
#include "PE.h"


class CIAT
{
public:
	CIAT(void);
	~CIAT(void);

	int Hook(int hModule, char *pszDll, char *pszApiName, int iNewApiAddr);
	void UnHook(void);

private:
	int GetImageImportDescriptorAddr(int hModule);	// 获取指定模块的IAT表入口地址
	int GetApiIatAddr(int hModule, MY_IMAGE_IMPORT_DESCRIPTOR* pIID, char *pszApiName);
private:
	MY_IMAGE_DOS_HEADER m_dosHeader;
	MY_IMAGE_PE_HEADER m_peHeader;
	int m_iOldApiAddr;
	int m_iHookAddr;
};

----------------------------------

IAT.cpp文件：

#include "StdAfx.h"
#include "IAT.h"


CIAT::CIAT(void)
{
	m_iOldApiAddr = 0;
	m_iHookAddr = 0;
}


CIAT::~CIAT(void)
{
	UnHook();
}

/**
@Name:    GetImageImportDescriptorAddr
@Brief	  获取指定模块的导入表入口地址   
@Param:   int hModule	模块句柄，即入口地址
@Return:  int
*/
int CIAT::GetImageImportDescriptorAddr(int hModule)
{
	int iIatAddTableress = 0;
	byte e_magic[2] = {'M', 'Z'};
	byte Signature[2] = {'P', 'E'};

	// 取DOS头
	RtlMoveMemory((void*)&m_dosHeader, (void*)hModule, 64);
	if (memcmp(e_magic, m_dosHeader.e_magic, 2) != 0)
	{
		return 0;
	}

	// 取PE头
	RtlMoveMemory((void*)&m_peHeader, (void*)(hModule + m_dosHeader.e_lfanew), 248);
	if (memcmp(Signature, m_peHeader.Signature, 2) != 0)
	{
		return 0;
	}

	// VirtualAddress存的是RVA，即相对虚拟地址，所以必须加上模块起始地址
	iIatAddTableress = hModule + m_peHeader.DataDirectory[1].VirtualAddress;
	return iIatAddTableress;
}


/**
@Name:    Hook
@Brief	  IAT HOOK   
@Param:   int hModule		一个程序有很多模块，几乎每个模块都有IAT，
							这里传你想要HOOK的模块句柄，即入口地址
							如果hModule <= 0,则HOOK exe模块的IAT
@Param:   char * pszDll		要HOOK的API所在的DLL名字，如User32.dll
@Param:   char * pszApiName 要HOOK的API名字，如MessageBoxA
@Param:   int iNewApiAddr	你的API地址
@Return:  成功返回旧的API地址,失败返回0
*/
int CIAT::Hook(int hModule, char *pszDll, char *pszApiName, int iNewApiAddr)
{
	if (pszDll == NULL || pszApiName == NULL  || iNewApiAddr <= 0)
	{
		return 0;
	}
	UnHook();

	hModule = hModule > 0 ? hModule : (int)GetModuleHandle(NULL);
	int iIIDAddr = GetImageImportDescriptorAddr(hModule);
	if (iIIDAddr <= 0)
	{
		return 0;
	}

	MY_IMAGE_IMPORT_DESCRIPTOR *pIID = (MY_IMAGE_IMPORT_DESCRIPTOR*)iIIDAddr;
	while(pIID != NULL)
	{
		// 最后一个IID数据全为0
		static int iIIDEnd[5] = {0};
		if (memcmp(pIID, iIIDEnd, 20) == 0)
		{
			break;
		}

		// 判断下是不是我们要HOOK的DLL
		char* dllName = (char*)(hModule + pIID->Name);
		if(dllName == NULL || stricmp(dllName, pszDll) != 0)
		{
			pIID++;
			continue;
		}

		// 获取好HOOK的API地址
		m_iHookAddr = GetApiIatAddr(hModule, pIID, pszApiName);
		if (m_iHookAddr <= 0)
		{
			return 0;
		}

		DWORD dwOldProtect = 0; 
		VirtualProtect((LPVOID)m_iHookAddr, 4, PAGE_READWRITE, &dwOldProtect); 
			m_iOldApiAddr = *(int*)m_iHookAddr;
			*(int*)m_iHookAddr = iNewApiAddr; 
			//WriteProcessMemory(GetCurrentProcess(), (LPVOID)m_iHookAddr, &iNewApiAddr, 4, NULL);
		VirtualProtect((LPVOID)m_iHookAddr, 4, dwOldProtect, &dwOldProtect);
		
		return m_iOldApiAddr;
	}

	return 0;
}

void CIAT::UnHook(void)
{
	if (m_iHookAddr <= 0)
	{
		return;
	}

	DWORD dwOldProtect = 0; 
	VirtualProtect((LPVOID)m_iHookAddr, 4, PAGE_READWRITE, &dwOldProtect); 
	*(int*)m_iHookAddr = m_iOldApiAddr; 
	//WriteProcessMemory(GetCurrentProcess(), (LPVOID)m_iHookAddr, &m_iHookAddr, 4, NULL);
	VirtualProtect((LPVOID)m_iHookAddr, 4, dwOldProtect, &dwOldProtect);
}


/**
@Name:    GetApiIatAddr
@Brief	  取指定API的IAT地址   
@Param:   int hModule
@Param:   MY_IMAGE_IMPORT_DESCRIPTOR * pIID
@Param:   char * pszApiName
@Return:  int
*/
int CIAT::GetApiIatAddr(int hModule, MY_IMAGE_IMPORT_DESCRIPTOR* pIID, char *pszApiName)
{
	if (hModule <=0 || pIID == NULL || pszApiName == NULL)
	{
		return 0;
	}

	MY_IMAGE_THUNK_DATA32 *pThunkData = NULL;
	int *pIAT = NULL;
	pThunkData = (MY_IMAGE_THUNK_DATA32 *)(hModule + pIID->OriginalFirstThunk);
	pIAT	   = (int *)(hModule + pIID->FirstThunk);

	while(pThunkData != NULL && pThunkData->AddressOfData != NULL)
	{
		// 判断是否是以函数名字的方法导入
		// 0表示以名字方式导入
		// 1表示已序号方式导入
		if ((pThunkData->AddressOfData & 0x80000000) == 0)
		{
			char* functionname = (char*)(hModule+pThunkData->AddressOfData + 2);
			if (stricmp(functionname, pszApiName) == 0)
			{
				return (int)pIAT;
			}
		}

		pThunkData++;
		pIAT++;
	}
	return 0;
}

----------------------------------------

类编写完毕，测试代码如下：

CIAT g_IAT;
typedef int (WINAPI *PFN_MessageBoxA)(HWND hWnd, LPCSTR lpText, LPCSTR lpCaption, UINT uType);
PFN_MessageBoxA pfnMessageBoxA = NULL;

int
	WINAPI
	MyMessageBoxA(
	__in_opt HWND hWnd,
	__in_opt LPCSTR lpText,
	__in_opt LPCSTR lpCaption,
	__in UINT uType)
{
	return pfnMessageBoxA(hWnd, "Hello rrr", "you are xxx", uType);
}


// 导入表
void CPE_TestDlg::OnBnClickedBtnImportTable()
{
	pfnMessageBoxA = (PFN_MessageBoxA)m_IAT.Hook(NULL, "User32.dll", "MessageBoxA", (int)MyMessageBoxA);
}

-------------------------------------------------

效果截图：