IAT HOOK的检测

IAT HOOK的检测
在EXE加载前，IAT表中的结构和INT表中的结构内容一致，如果所示，OriginalFirstThunk指向INT中第一个IMAGE_THUNK_DATA，FirstThunk指向IAT中的第一个IMAGE_THUNK_DATA
IMAGE_THUNK_DATA中放着指向IMAGE_IMPORT_BY_NAME的指针

 

在程序装载完成之后，IAT中的数据进行了修改，内容改为相应的API函数地址，如图

进行检测时只需要读取IAT表中的数据，便可得到目标进程所调用的API地址

原始的地址，LoadLibrary GetProcAddress 经过换算可以得到

 

 

贴上相关的结构体

typedef struct _IMAGE_IMPORT_DESCRIPTOR {
union {
DWORD   Characteristics;            // 0 for terminating null import descriptor
DWORD   OriginalFirstThunk;         // RVA to original unbound IAT (PIMAGE_THUNK_DATA)
};
DWORD   TimeDateStamp;                  // 0 if not bound,
// -1 if bound, and real date\time stamp
//     in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
// O.W. date/time stamp of DLL bound to (Old BIND)

DWORD   ForwarderChain;                 // -1 if no forwarders
DWORD   Name;
DWORD   FirstThunk;                     // RVA to IAT (if bound this IAT has actual addresses)
} IMAGE_IMPORT_DESCRIPTOR;


typedef struct _IMAGE_THUNK_DATA32 {
union {
PBYTE  ForwarderString;
PDWORD Function;
DWORD Ordinal;
PIMAGE_IMPORT_BY_NAME  AddressOfData;
} u1;
} IMAGE_THUNK_DATA32;