高阶全局API钩取原理

于 2021-03-15 20:50:42 发布
阅读量154 收藏
点赞数
分类专栏： 逆向工程
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_33976344/article/details/114835232
版权

取了个高阶的前缀, 感觉很吊的样子
这里只简要叙述原理. (64位系统需要重写demo的注入程序, 相关API也有变动, 所以复现有难度

原理

钩取目标进程创建子进程的API, 这样每当目标进程创建子进程, 就会被自动注入, 全局钩取的实现就是钩取所有正在运行的进程的子进程创建的API, 通俗来说就是从源头钩取API, 从这个源头创建的进程都会被注入. 这就是全局钩取的基本思想.

对比钩取IE浏览器的两种方式, 第一幅图是常规API钩取, 分别注入每个子进程(浏览器每个选项卡都是一个子进程); 第二幅图是直接钩取Explorer.exe父进程的API, 这样每创建一个子进程都会被自动钩取.

在这里插入图片描述

在这里插入图片描述

反思

跟着ReverseCore把API钩取知识系统学习了一遍, 但是发现有些地方囫囵吞枣了, 要深刻理解, 得留到之后的Windows内核编程的学习才能把这个坑填上了.

fa1c4
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
《逆向工程核心原理》学习笔记（四）：API钩取
闵行小鱼塘
05-20 2382
继续学习《逆向工程核心原理》，本篇笔记是第四部分：API钩取，主要介绍了调试钩取、DLL注入实现IAT钩取、API代码修改钩取和全局API钩取等内容
高级全局API钩取 - IE连接控制
weixin_30340617的博客
02-14 439
@author: dlive @date: 2017/02/14 0x01 调试IE进程 常见网络连接库：ws2_32.dll（套接字），wininet.dll，winhttp.dll 使用Process Explorer查看IE加载的DLL IE不仅加载了ws2_32.dll还加载了wininet.dll，wininet.dll中提供的API中有个名为InternetConnect()的API，...
逆向工程核心原理读书笔记-API钩取之IE浏览器连接控制
liujiayu2的专栏
06-09 1018
我们通过一个示例来练习钩取IE8的InternetConnect函数，用IE8连接指定网站时，使之连接到另一个网站。和以前钩取CreateProcess不同，这次我们钩取更低级的ZwResumeThread来实现全局API钩取。 我们来分析一下源代码，看看是怎么实现的。 InjDll.cpp源代码与DLL注入的代码基本结构类似。 [cpp] view plai
API钩取
fa1c4的blog
03-09 144
钩取流程 反汇编/调试器理清程序结构和工作原理 开发钩子代码, 修改/改进程序功能 操作可执行文件和进程内存, 设置钩子 机制 对于Windows OS, 用户程序需要使用资源时, 需向内核申请使用API. 具体则是通过DLL文件一层层向下调用, 最后通过SYSENTER进入内核模式. 示意图(notepad.exe打开一个文件的过程) API钩取 完全技术图表(摘自ReverseCore29章) 位置分类 IAT 修改IAT地址为钩取函数地址 EAT 修改EAT地址为钩取函数地址 Code 从内
JS高阶函数原理与用法实例分析
10-17
JavaScript中的高阶函数是函数式编程的核心特性，它允许我们将函数作为参数传递给其他函数，也可以从函数中返回函数。这种能力使得JavaScript成为一个强大的动态语言，尤其适合处理复杂的数据操作和逻辑控制。以下是...
matlab基于高阶统计量 去噪
06-09
高阶统计量是超越第一阶（均值）和第二阶（方差）统计量的统计参数，如偏度、峰度、高阶矩等。这些统计量能够捕捉数据分布的非对称性和尖峰程度，对于识别和去除噪声尤其有用。在图像处理中，高阶统计量可以揭示噪声...
高阶累积量matlab源码
01-25
3. **高阶累积量计算**：利用MATLAB内置函数或自定义函数，计算信号的三阶或更高阶累积量。这通常涉及对信号的n次乘积进行平均，然后减去所有较低阶矩的组合。 4. **特征提取**：通过分析计算出的高阶累积量，提取...
高阶（六阶）无源滤波器的设计
06-26
根据原型滤波器设计六阶无源滤波器
MATLAB高阶谱工具箱
05-16
MATLAB高阶谱工具箱是一款专门用于高阶谱分析的软件包，主要服务于科研和工程领域中的信号处理工作。这个工具箱包含了多个功能强大的函数，能够帮助用户进行复杂信号的分析，尤其在非线性系统和非高斯噪声环境下的...
vc2008全局钩子(Hook)演示代码
10-18
代码包括创建dll全局钩子工程以及安装全局钩子的Demo,标有详细注释,对初学者很有帮助
API钩取技术
笔记本
11-13 1434
DLL注入说完了下一章介绍了API钩取技术，这个技术运用范围更加广泛基本木马病毒都会用到这个。整理下这3天看的api hook相关方式。 1.调试器法:使用DebugActiveProcess函数以调试模式附加到相关进程，获取进程控制权。等待调试者发生时间，并在发生相关函数调用事件时调用处理函数。给api开始地址写上0xcc（int 3）断点，断下之后获取进程上下文，获取寄存器的值，在内存中跟随...
API勾取实现进程隐藏
王二娃的生活的博客
07-26 5020
Windows中，任务管理器、Procexp等软件都是通过遍历进程信息结构体链表来获取进程名的，所以我们只要获取进程信息结构体链表然后删除指定进程信息块就能实现进程的隐藏，这种隐藏其实不是真正的隐藏而是让查看进程的程序无法查看到而已。 遍历进程方法一（创建进程快照）： HANDLE WINAPI CreateToolhelp32Snapshot( DWORD dwFlags,
鼠标全局钩子
photowen的专栏
05-23 1048
最近看一个老兄写的一个鼠标的全局钩子，感觉其代码有点过多繁琐，于是就自己改写了一下。发现学到不少的知识，特拿来分享！ 本程序分为两个部分：第一：dll部分。第二：程序部分。本程序是主要获得任意窗口的标题。第一部分代码如下：#include #pragma data_seg("mydata") HWND g_hPrevTarWnd = NULL;
全局钩子详解
ccfxue的博客
05-03 6646
监控程序的实现       我们发现一些木马或其他病毒程序常常会将我们的键盘或鼠标的操作消息记录下来然后再将它发到他们指定的地方以实现监听.这种功能其他是利用了全局钩子将鼠标或键盘消息进行了截取,从而获得了操作的消息.要得到鼠标和键盘的控制权,我们要用SetWindowsHookEx这个函数:  HHOOK SetWindowsHookEx(     int idHook,        /
Kafka消息队列安装与使用（三）
木讷的鱼
10-22 304
Kafka消息队列安装与使用（三）四. Kafka API的使用4.1 Producer API4.1.1 消息发送流程4.1.2 异步发送 API4.1.3 同步发送 API4.2 Consumer API4.2.1 自动提交 offset4.2.2 手动提交 offset4.2.3 自定义存储 offset 四. Kafka API的使用 4.1 Producer API 4.1.1 消息发送流程 Kafka 的 Producer 发送消息采用的是异步发送的方式。在消息发送的过程中，涉及到了两个线程—
dll注入失败原因总结
fa1c4的blog
03-15 6393
常见的几个原因 Windows Vista/ 7及之后的系统使用了会话隔离技术. 导致钩取API kernel32.CreateRemoteThread()失败, 可以尝试钩取ntdll.NtCreateThreadEx() 开启杀毒软件的进程保护功能导致注入失败. 注入的dll文件与目标文件格式不一致, 比如PE32注入PE32+, 或者PE32+注入PE32文件都会失败. ...
Winhex数据粘贴方法
fa1c4的blog
03-08 4743
Winhex选定一个起始地址 注意两种方式的区别, paste是将剪切板的内容插入文件, 会导致文件数据量增加. write是覆盖原数据, 维持数据量不变. 熟悉以后选择一个起始地址按快捷键即可 Ctrl + V 插入 Ctrl + B 修改 ...
kafka 高阶api
最新发布
09-21
kafka的高阶API是一种使用简单的API，它提供了自动管理offset和分区的功能，可以通过zookeeper来管理消费者的断线情况。高阶API还可以使用group来区分不同程序对同一个topic的访问，以便不同程序之间不会互相影响offset的读取。但是，高阶API的一个缺点是不能自行控制offset，也不能细化控制分区、副本和zk等。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值