驱动开发实现修改导入表注入dll

导入表注入dll其实就是给程序的导入表添加一个dll和相应函数，程序在被载入时，系统会自动加载该dll，从而实现dll注入。

我在驱动实现修改导入表的方法就是使用PsSetLoadImageNotifyRoutine函数创建回调，在回调中修改导入表。

修改导入表的过程如下：

1，申请一块内存，将原来的导入表和自己添加的项拷贝到这块内存。

2，修改pe头的导入表偏移，使其指向新导入表。

经过以上修改还不够，仍有部分程序不能正常运行，或不能成功注入dll。

原因如下：

1，程序有绑定导入表，就直接使用了，从而没有加载你的dll。解决办法就是清空绑定导入表。

2，有的编译器编译的程序没有IAT的偏移与大小，此时系统会检查导入表的范围，因为你申请的内存在pe范围之外，系统出错。所以解决方法就是自己填充IAT，使其指向原来的导入表位置。

3，另外，在修改pe时要去除写保护，此时需要修改先前模式。

代码见http://download.csdn.net/detail/uncia_me/9717160