HOOK api readprocessmemory and writeprocessmemory

 编译环境：delphi 2010+windows 7 u ，用途读取其他程序中readprocessmemory和writeprocessmemory的参数，但不知读取偏移即a+($b),b是怎么读的

 

 一 、用hook全局钩子 线程钩子：已实现 使用INLINE hookapi，CriticalSection临界区，dll分为动态loadlibry和静态加载

问题1：对多线程目标程序HOOK 卸载时会出现错误，应该是线程不断读写内存函数READPROCESSMEMORY，但钩子正在卸载没有改回正确的地址就被目标程序读取，导致目标程序处理错误的API地址而出错，如果不是不停读写 卸载不会出现错误？不知是不是

问题2：使用INLINE HOOK目标程序多线程读取内存，程序在卸载钩子时有时会出错，可能跟问题一 一样。使用CreateRemoteThread远程注入是否会有此问题，应该没有吧！

问题3：自己的替代函数中使用记录日志可能不响应，为什么？

问题4：使用临界区后没出现EXPLORER的问题，也可能是逻辑代码问题,有待研究。

 

 

备注：

windows核心编程中的 IAT Hook 是否存在线程问题??

1 : Hook LoadLibrary*后, 若两线程同时调用LoadLibrary, 可能同时修改同一个模块的IAT表, 可能存在访问冲突(此问题可以用临界区解决)
2 : Hook LoadLibrary*后, 他对本进程所有模块的的IAT表都进行修改(使用WriteProcessMemory), 某线程可能此时访问正在被修改中的IAT表, 可能call 到其它地址去。(若真存在多线程问题, 此问题就有点麻烦)。似乎是说多线程下同时写入读写东西时，还没修复回IAI就被其他线程调用，程序会出错。

2009-10-0515:14:29

源码在此 ！