深入IAT HOOK

最新推荐文章于 2023-09-15 08:52:47 发布
VIP文章 最新推荐文章于 2023-09-15 08:52:47 发布
阅读量2.1k 收藏 11
点赞数 1
分类专栏： 信息安全 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_18501087/article/details/107311457
版权

在上一篇文章手动打造一个弹窗程序中，我们自己手写了一份导入表，在调用函数的时候，我们CALL的是导入地址表的一个地址，为什么要调用这里，而且在构造导入表的时候，导入名称表(INT)和导入地址表(IAT)里面装的内容是一样的，程序又是怎么去调用的，在这篇文章中就来分析一下。

注：以下操作是在 XP 上实现的，其他版本注意写保护机制

目录

0x00 IAT表的填写

0x01 IAT HOOK的原理

0x02 实现代码

0x00 IAT表的填写

在上一篇文章中，我们构造导入表的时候，将 IAT 表和 INT 表都指向的是函数名称所在的位置，然后在运行的时候，IAT 表中的内容会被替换成对应函数的地址，在调用的时候使用间接 CALL ，来调用其中所储存的地址。

下面先来验证一下，函数调用的地址是 0x4010D8 ，在 OD 中进行查看

可以发现，已经正确的填写了，那么操作系统又是根据什么来填写的

首先操作系统会通过 Name 字段找到当前导入表的名字，然后调用 LoadLibrary 得到句柄，如果没有找到的话会提示找不到 dll 文件，报错情况如下

最低0.47元/天 解锁文章
Vesel『无心』
关注
  • 1
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
VC实现IAT hook例子
10-05
IAT hook是通过修改IAT来实现hook API的方法。本示例展示了完整的IAT hook例子
C++封装IATHOOK类实例
09-04
主要介绍了C++封装IATHOOK类的实现方法,对IAT的HOOK实例进行了封装,非常具有实用价值,需要的朋友可以参考下
Rootkit端口隐藏技术_rootkithook_hook_rootkit_creature2ka_隐藏驱动
09-11
ROOTKIT 利用hook技术可以隐藏指定的端口 需要以驱动加载的形式把hook加载进内核 这里利用了insdrv工具
IAT Hook
Tandy12356_的博客
05-26 1609
本文介绍了如何使用IAT HOOK技术来实现反向支持giegie的目的。
IAT HOOK
weixin_44711063的博客
03-11 523
IAT HOOK IAT hook，通过把IAT表中的函数地址修改成我所要执行的函数地址，完成改变程序流程 举例： 比如原本是静态(通过系统自己加载dll)使用函数MessageBox，程序会FF间接call，找IAT表里面存的函数地址。倘若我在程序使用函数MessageBox之前，就对IAT表里面的函数地址做修改。那么，程序再call函数MessageBox的地址时，就会call我修改的那个函数的地址那里。从而实现改变程序流程 案例： 实现IAT hook，要求返回函数MessageBox的参数、返回值到
IAT HOOK
azraelxuemo的博客
01-25 446
IAT Hook通过修改输入表的地址使应用调用函数的时候跳转到恶意代码区域 这里我们获取到了指定进程的指定dll中导入的指定函数的地址和该IAT的地址，只要把该IAT修改了就可以达到hook的目的 但如果用远程线程的方式是无法完成传统意义上的IAT HOOK 因为如果我们修改了IAT里的地址，相当于目标进程调用了我们在目标进程空间里面自定义的函数，参数也只有默认的参数，但最后我们如果想要回跳到原始正常的函数，就需要获取到这个函数的地址，但对于我们远程线程的方式，是无法告诉他这个地址的，只能使用dll的方式
基于 IAT hook 的文件隐藏功能 完整代码+报告
01-12
通过 IAT Hook 的方法篡改它们的导入表，使这两个程序查看不到文件系统中指定名称的文件。 三 实验过程 1、主程序 （1）功能：将自己编写的包含有攻击代码的 dll 文件注入到目标进程（本实验选择注入到“cmd.exe”...
Delphi IATHook API
10-09
Delphi的IAT API Hook 算還沒完成 但已經可以實現Hook了 還沒搞定CreateRemoteThread 所以只能修改自己得IAT(好爛)
Hook IAT hookdll资源表
11-21
Hook IAT hookdll资源表
内存注入(IAT Hook 和Inline Hook)
06-02
本压缩包有我自己写的内存注入程序与测试程序,并附有相应的源码..会用MessageBox 去Hook 指定的函数
IAT HOOK教程.zip
09-25
IAT HOOK教程.zip
应用层IAT hook
11-01
应用层R3 IAT hook代码实现
Native API 和一般 API 的 IAT Hook
09-03
通过一种方式统一实现对Native API 和一般 API 的hook
API钩取技术研究（一）—— IAT Hook
m0_55220082的博客
07-12 456
通过修改IAT的方式实现对Notepad的WriteFile()函数钩取，使得保存的文件中所有小写字母变成大写字母。
4.3 IAT Hook 挂钩技术
最新发布
CSDN
09-15 5423
IAT（Import Address Table）Hook是一种针对Windows操作系统的API Hooking 技术，用于修改应用程序对动态链接库（DLL）中导入函数的调用。IAT是一个数据结构，其中包含了应用程序在运行时使用的导入函数的地址。 IAT Hook的原理是通过修改IAT中的函数指针，将原本要调用的函数指向另一个自定义的函数。这样，在应用程序执行时，当调用被钩子的函数时，实际上会执行自定义的函数。通过IAT Hook，我们可以拦截和修改应用程序的函数调用，以实现一些自定义的行为，比如记录日
Hook技术：IAT Hook详细讨论修改IAT地址和恢复
weixin_43742894的博客
05-16 2177
IAT Hook是Ring3层常用的Hook之一，主要思路大家都知道，就是修改IAT中的函数地址。
IAT hook实现 (修改pe中的导入表实现hook)
&Ψ的博客
07-21 1348
IDA hook的编写 1. 实现hook的原理 在pe文件中有导入表，导入表中用函数名字和地址，我们把这个地址改变做到hook的效果。一下所有代码是32位的只使用了c语言 之前分析过导入表，本文不在分析只实现hook pe结构解析 实现所用到的Windows api //用于获取当前模块的基地址 GetModuleHandleA(NULL) HMODULE WINAPI GetModuleHandleA( _In_opt_ LPCSTR lpModuleName ); //用于修改内存属
C/C++ IAT HOOK MessageBoxW
CSDN
07-16 4823
IATHook（Import Address Table Hook）是一种用于修改函数导入表的技术，常用于动态链接库（DLL）注入和函数钩子。它通过修改目标程序的导入表中的函数地址，实现对目标函数的劫持和重定向。
memcpy hook
08-27
引用中提到，hook可以分为两类：一种是修改函数代码，一种是修改函数地址。其中，修改函数代码的方式可以通过Inline hook实现，而修改函数地址的方式可以通过IAT hook、SSDT hook、IRP hook、IDT hook等方法实现。引用中给出了一个使用memcpy函数进行hook的示例代码。在这个示例中，先定义了一个结构体Thook修改代码，结构体中包含了一些汇编指令和跳转地址等信息。然后通过调用memcpy_s函数，将这个结构体的内容拷贝到目标函数的地址，从而实现对目标函数的hook。同样地，引用中也给出了另一个使用memcpy函数进行hook的示例代码，并且提到了备份被覆盖的代码以及跳转地址等操作。综上所述，可以使用memcpy函数进行hook操作，通过拷贝特定的指令或者结构体内容到目标函数的地址来实现hook。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *3* [浅谈hook攻防](https://blog.csdn.net/hongduilanjun/article/details/124676926)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] - *2* [各种HOOK方式和检测对抗方法](https://blog.csdn.net/qq_43355637/article/details/127061136)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值