WINAPI HOOK （修改前五个字节，JMP跳转法）

最新推荐文章于 2024-07-06 19:30:00 发布

kugou123

最新推荐文章于 2024-07-06 19:30:00 发布

阅读量2.4k

点赞数

分类专栏：系统/进程/线程/DLL 文章标签： winapi hook dll api null thread

本文链接：https://blog.csdn.net/kugou123/article/details/32229

版权

本文介绍了如何在Win2k下使用WinAPI的VirtualProtectEx和WriteProcessMemory等函数，通过修改API头五个字节实现JMP跳转法的钩子技术。以拦截MessageBoxA为例，详细阐述了钩子函数的设置和API的动态修改过程，展示了在不同进程中的应用，以及其在文件保护和防火墙功能等领域的潜在应用。

摘要由CSDN通过智能技术生成

本文一介绍用修改API头五个字节的方法在Win2k下的使用。利用Win2k为我们提供了一个强大的内存Api操作函数---VirtualProtectEx，WriteProcessMemeory,ReadProcessMemeory，有了它们我们就能在内存中动态修改代码了，其原型为：
BOOL VirtualProtectEx(
HANDLE hProcess, // 要修改内存的进程句柄
LPVOID lpAddress, // 要修改内存的起始地址
DWORD dwSize, // 修改内存的字节
DWORD flNewProtect, // 修改后的内存属性
PDWORD lpflOldProtect // 修改前的内存属性的地址
);
BOOL WriteProcessMemory(
HANDLE hProcess, // 要写进程的句柄
LPVOID lpBaseAddress, // 写内存的起始地址
LPVOID lpBuffer, // 写入数据的地址
DWORD nSize, // 要写的字节数
LPDWORD lpNumberOfBytesWritten // 实际写入的子节数
);
BOOL ReadProcessMemory(
HANDLE hProcess, // 要读进程的句柄
LPCVOID lpBaseAddress, // 读内存的起始地址
LPVOID lpBuffer, // 读入数据的地址
DWORD nSize, // 要读入的字节数
LPDWORD lpNumberOfBytesRead // 实际读入的子节数
);
具体的参数请参看MSDN帮助。在Win2k下因为Dll和所属进程在同一地址空间，这点又和Win9x/me存在所有进程存在共享的地址空间不同，因此，必须通过钩子函数和远程注入进程的方法，这样，便能挂接所有进程的API了。现