转:native api的学习笔记

最近在学习native api，做个笔记，以后可能用得上
首先要明白NATIVE api是什么？
我比较喜欢这样理解：
native API 可以译做“原生API”
比如您的应用程序调用Win32 API如ReadFile, 此时ReadFile会在底层调用ntdll.dll中导出的NtReadFile，读取文件的实际工作就转交给了NtReadFile例程了，这个NtReadFile即为Native API.
注意：这个NtReadFile是操作系统中未文档化的例程，所以不适合在应用程序中直接调用。
其实native api功能非常强大，网上的牛人也给出了RING3下使用native api的方法。
调用方式一(一般方式):
第一步:声明函数指针
比如我们需要调用NtCreateFile函数,那么我们就需要根据NtCreateFile的定义来声明一个相同类型的函数指针(这样做会让编译器比较高兴)
typedef NTSTATUS (* MyNtCreateFile) (
OUT PHANDLE FileHandle,
IN ACCESS_MASK DesiredAccess,
IN POBJECT_ATTRIBUTES ObjectAttributes,
//OUT PIO_STATUS_BLOCK IoStatusBlock,
OUT PVOID IoStatusBlock,
IN PLARGE_INTEGER AllocationSize OPTIONAL,
IN ULONG FileAttributes,
IN ULONG ShareAccess,
IN ULONG CreateDisposition,
IN ULONG CreateOptions,
IN PVOID EaBuffer OPTIONAL,
IN ULONG EaLength
);
MyNtCreateFile MyNtCreateFileFun; 第二步: 获取native api在natdll中的地址
MyNtCreateFileFun= (MyNtCreateFile)GetProcAddress (GetModuleHandle("ntdll.dll"), "NtCreateFile"); 第三步: 调用native api完成功能

HOOK native api和HOOK其他API函数是一样的！就是那么几种HOOK方法，IAT HOOK,INLINE HOOK等
实现思路就是这样：
这里以ZwWriteFile函数为例，代码如下，这里用的是硬编码，可以用detours hook的
7C92DF7E >  B8 12010000     mov eax,112                              ; ZwWriteFile
7C92DF83    BA 0003FE7F     mov edx,7FFE0300
7C92DF88    FF12            call dword ptr ds:[edx]                  ; ntdll.KiFastSystemCall
7C92DF8A    C2 2400         retn 24


hook的基本思路是:修改函数入口处的第5——12字节，既是把
7C92DF83    BA 0003FE7F     mov edx,7FFE0300
7C92DF88    FF12            call dword ptr ds:[edx]                  ; ntdll.KiFastSystemCall
修改成：
mov edx,[自定义的hook函数地址]
call edx
修改后的代码如下：
7C92DF7E >  B8 12010000     mov eax,112                              ; ZwWriteFile
7C92DF83    BA 0003FE7F     mov edx,xxxxxxxx                 ；xxxxx是hook函数的地址，定义在你的dll中
7C92DF88    FF12            call edx                         ；call到你的hook函数中
7C92DF8A    C2 2400         retn 24
在自己的函数内要注意堆栈平衡！