上一期,我们讲了用HOOK技术实现远程线程插入,相信大家还记忆犹新.
这一期我们来谈谈 API HOOK
挂,internet通信等领域API HOOK的中文意思就是钩住API,对API进行预处理,先执行我们的函数,例
如我们用API Hook技术挂接ExitWindowsEx API函数,使关机失效,挂接ZwOpenProcess函
数,隐藏进程等等......
<一>改写IAT导入表法
的可执行文件)的文件格式,这种文件格式
是由微软设计的,接下来这张图描述了PE文件的结构:
入函数的地址。有一点很重要的是我们必须知道PE文件是如何创建的。当在编程语言里间接调用任
意API(这意味着我们是用函数的名字来调用它,而不是用它的地址),编译器并不直接把调用连接到
模块,而是用jmp指令连接调用到IAT,IAT在系统把进程调入内存时时会由进程载入器填满。这就是
我们可以在两个不同版本的Windows里使用相同的二进制代码的原因,虽然模块可能会加载到不同的
地址。进程载入器会在程序代码里调用所使用的IAT里填入直接跳转的jmp指令。所以我们能在IAT里
找到我们想要挂钩的指定函数,我们就能很容易改变那里的jmp指令并重定向代码到我们的地址。完
成之后每次调用都会执行我们的代码了。
WriteProcessMemory在内存中的这些部分写入代码了。在改写了地址之后我们要把保护属性改回来
。在调用VirtualProtectEx之前我们还要先知道有关页面的信息,这通过VirtualQueryEx来实现。
程序就是这种情况,我当初也是想用这种方法,但是在易里面调试时总不能在IAT里得到正确的程序调
用的API,常常是些无关的API(可能是易的核心支持库在做怪),不得不放弃.
<二>直接改写API函数入口点.(改写内存地址JMP法)
.DLL命令 返回页面虚拟信息, 整数型, "kernel32", "VirtualQueryEx"
.DLL命令 修改页面虚拟保护, 逻辑型, "kernel32", "VirtualProtectEx"
WriteProcessMemory写内存字节了.
数,可以写入一个跳转指令,JMP OX00000(其中OX00000为自定API函数地址),请参照论坛上的教程,也
当作我留给大家的问题吧,呵呵.
制作目标:挂勾ExitWindowsEx,使关机无效.
分析:只要求关机无效,即ExitWindowsEx无效就可以了,我们不必那么麻烦去写跳转指令,可以直接在
看下面的代码:
===================
'通过API函数GetProcAddress和GetModuleHandleA很容易得到API函数ExitWindowsEx的首地址.
API = GetProcAddress(GetModuleHandleA(“user32.dll”), “ExitWindowsEx”)
API_BAK = 指针到字节集 (API, 1)
'用OpenProcess打开其他进程前先提升进程权限,这样可以打开几乎所有的非内核程序
提升进程权限 ()
==============================修改API首地址()=================
.子程序 修改API首地址, 逻辑型
.参数 Process, 整数型, , 目标进程句柄
.参数 Papi, 整数型, , 要修改的API函数地址
.参数 type, 字节集, , 要改写的内容,字节集
.局部变量 mbi, 虚拟信息
.局部变量 结果, 逻辑型
.局部变量 MyAPI, 整数型
.局部变量 Ptype, 字节集
.如果真 (Papi = 0)
.如果真结束
.如果真 (返回虚拟信息 (Process, Papi, mbi, 28) = 0)
.如果真结束
.如果真 (修改虚拟保护 (Process, mbi.BaseAddress, 取字节集长度 (type) + 1, #PAGE_EXECUTE_READWRITE, mbi.Protect) = 假)
.如果真结束
结果 = 写内存字节 (Process, Papi, type, 取字节集长度 (type), 0)
修改虚拟保护 (Process, mbi.BaseAddress, 取字节集长度 (type) + 1, #PAGE_EXECUTE_READ, mbi.Protect)
返回 (结果)
========================
我们通过以下几个API就可以举出系统所有进程,得到它们的进程ID
*CreateToolhelp32Snapshot
*Process32First,开始进程快照
*Process32Next, 继续进程快照
看代码:
=========================刷新进程信息==============
.子程序 刷新进程信息
.参数 进程信息输出, 进程信息输出, 数组
.局部变量 临时变量, 整数型
.局部变量 临时变量B, 整数型
.局部变量 线程基本优先级, 整数型, , "0"
.局部变量 临时进程信息, 进程信息输出
临时变量 = 创建进程快照 (2, 0)
临时进程信息.结构大小 = 296
临时变量B = 开始进程快照 (临时变量, 临时进程信息)
.判断循环首 (临时变量B ≠ 0)
.判断循环尾 ()
关闭内核对象 (临时变量)
============================HOOK_API()================================
.子程序 HOOK_API
.参数 是否HOOK, 逻辑型, , 真,表示HOOK,假,表示还原
.局部变量 i, 整数型
刷新进程信息 (进程信息)
.计次循环首 (取数组成员数 (进程信息), i)
.计次循环尾 ()
=================================================================
最后我们通过调用HOOK_API(真)就可以挂勾ExitWindowsEx,
调用HOOK_API (假)就可以还原ExitWindowsEx.
继续看代码:
======================================
.子程序 _选择框_挂勾API_被单击
.如果 (选择框_挂勾API.标题 = “挂勾API”)
.否则
=======================================
题外话:
软件的限制,不过,我不同意你用它拿来破解网管软件,我之所以这么说,只是想告诉大家一个道理:
思维不要只限制到一个很狭隘的空间中去......
==========================================
总结:
自由 平等 随意 突破......
此文献给所有易的支持者
下次再见.
http://blog.sina.com.cn/nohacks
Windows Hook 易核心编程(3) API Hook 初探
最新推荐文章于 2024-07-11 21:47:44 发布