API钩取之代码修改原理

之前学习了IAT钩取技术, 现在总结代码修改方式进行API钩取的原理(ReverseCore33章).

先看看钩取之前的正常流程
call 函数调用ntdll中的一个函数(函数名很长不用记, 把它当成一个抽象函数即可)
执行完之后就是retn 10返回调用位置的下一条指令

接下来看看修改代码之后的执行流程

流程很复杂, 其实理解之后就很简单了(丘成桐说过, 只要理解之后就会发现所有数学都是简单的
书中严谨的表述因为使用了很长的函数名称, 所以看起来比较复杂, 跟着流程脑内模拟一遍, 就发现其实很直白. 现总结如下:

1. dll注入进程修改API首地址指令为跳转到注入的dll的起始地址(钩取API)
2. 程序调用被钩取的API时会跳到注入的dll起始地址执行特定代码, 然后执行unhook()操作恢复被钩取的API首地址指令
3. call 钩取的API(此时已经恢复了原功能)执行预期的功能
4. 执行完返回注入的dll中继续执行代码, 最后再hook()钩取API(目的是重复钩取)
5. 最后RETN 10 返回调用被钩取的API的主程序流程(就像啥也没发生过, 默默插入了一段代码执行之后还不影响程序表现出来的功能)

代码修改钩取与IAT钩取的比较

• IAT钩取只能钩取存在于IAT表的API
• 代码修改可钩取进程中任意API
• 一个原理上的限制: 代码修改要求API长度大于5字节(跳转指令长度), 但因为所有API长度都大于5字节所以实际并无此限制.
• 进程的某线程如果读取正钩取的API(代码正被修改), 会触发非法访问错误.(不过存在解决办法)