API HOOK

O．前言

 

所谓API HOOK就是对API函数的截获。API HOOK 好像是一个永远被程序员关注的话题，从没停止。最近在看《windows核心编程》，看到了API HOOK。于是写了些程序，本文就是在程序编写的过程中作的一些总结。阅读本文需要一些PE文件结构的知识，读者可以先找一些相关书籍阅读。

 

我们知道程序中对API函数的调用经过编译后，会生成一个CALL指令，而CALL指令的操作数指向IAT中的地址值。所以要HOOK 某个API函数，人们第一个想到的就是对IAT项的截获。我们称之为IAT法。

 

第二种方法就是在每个API函数的头部进行截获，我们在每个需要HOOK 的API函数的头部放置一个JMP指令，让它转移到我们定义的一个PROXY程序中去。我们称这种方法为API函数头部HOOK法。

 

第三种方法，我们用一个替代的DLL文件（SUBDLL文件）来代替原来的正常的DLL文件（ORGDLL文件）。在SUBDLL文件中，我们EXPORT所有原来的ORGDLL中EXPORT的函数。我们称这种方法为DLL替代法。

 

这三种方法各有利弊，下文我们将会分别对这三种方法的实现和优缺点详细讲解。