工控系统安全之HOOK技术（上课教程）

工控系统安全之HOOK技术（上课教程）

分别采用IAT  Hook和inline Hook技术对系统函数Hook
1. 利用IAT Hook来挂钩user32.dll中的GetTopWindow函数，实现调用GetTopWindow会弹出提示框
2. 利用Inline Hook技术实现对user32.dll中的MessageBoxA的Hook，实现弹框前，先Beep一声

提示：
考虑到inline Hook实现对新手较难，可以先使用mhook库或Detours库来实现

#include "windows.h"

typedef
struct _IATHOOK_DATA 
{
    DWORD    dwValueAddr;    //IAT项中保存函数地址的地址
    DWORD    dwOriginValue;    //原始数据
    DWORD    dwNewValue;        //新的数据
}IATHOOK_DATA, *PIATHOOK_DATA;

DWORD IATHook(CHAR szDllName[], CHAR szFuncName[], PIATHOOK_DATA pIATHookData);
DWORD IATUnHook(PIATHOOK_DATA pIATHookData);

HWND WINAPI MyGetTopWindow(HWND hWnd);

IATHOOK_DATA    IATHookData;

int WINAPI WinMain( __in HINSTANCE hInstance, __in_opt HINSTANCE hPrevInstance, __in_opt LPSTR lpCmdLine, __in int nShowCmd )
{
    IATHookData.dwNewValue = (DWORD)MyGetTopWindow;
    IATHook("user32.dll", "GetTopWindow", &IATHookData);
    GetTopWindow(NULL);
    return    0;
}

typedef
HWND (WINAPI *GETTOPWINDOW)(HWND hWnd);
HWND WINAPI MyGetTopWindow(HWND hWnd)
{
    GETTOPWINDOW    OriginGetTopWindow = (GETTOPWINDOW)IATHookData.dwOriginValue;
    Beep(3000, 100);
    MessageBoxA(NULL, "GetTopWindow哦", "3170604037", MB_OK);
    
    return    OriginGetTopWindow(hWnd);
}

/************************************************************************/
/* 
功能：利用修改导入函数表中地址来hook函数
参数：szDllName-导入函数的dll名,szFuncName-函数名,pIATHookData-hook使用的数据
原理：通过判断IMAGE_THUNK_DATA中函数名来得到对应IAT中地址，修改导入函数表中函数地址
*/
/************************************************************************/
DWORD IATHook(CHAR szDllName[], CHAR szFuncName[], PIATHOOK_DATA pIATHookData)
{
    DWORD                        dwBaseAddr;
    PIMAGE_DOS_HEADER            pDosHeader;
    PIMAGE_NT_HEADERS            pNtHeader;
    PIMAGE_OPTIONAL_HEADER        pOptHeaer;
    PIMAGE_THUNK_DATA            pThunk, pIAT;
    PIMAGE_IMPORT_DESCRIPTOR    pImportDes;
    DWORD                        dwIndex;
    DWORD                        dwOriginProtect;

    if (NULL == szDllName || NULL == szFuncName || NULL == pIATHookData)
    {
        return    ERROR_INVALID_PARAMETER;
    }

    //获取当前文件的基址
    dwBaseAddr = (DWORD)GetModuleHandle(NULL);
    if (NULL == dwBaseAddr)
    {
        return    GetLastError();
    }
    
    //从头计算得到引入表的地址
    pDosHeader = (PIMAGE_DOS_HEADER)dwBaseAddr;
    pNtHeader = (PIMAGE_NT_HEADERS)(dwBaseAddr + pDosHeader->e_lfanew);
    pOptHeaer = &(pNtHeader->OptionalHeader);

    pImportDes = (PIMAGE_IMPORT_DESCRIPTOR)(dwBaseAddr + pOptHeaer->DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);

    while (pImportDes->FirstThunk)
    {
        //判断是否是对应模块
        if (_stricmp((CHAR*)(dwBaseAddr+pImportDes->Name), szDllName))
        {
            pImportDes ++;
            continue;
        }

        //当PE文件被装载到内存时，PE装载器将查找IMAGE_THUNK_DATA 和 IMAGE_IMPORT_BY_NAME 这些结构数组，
        //以此决定引入函数的地址。然后用引入函数真实地址来替代由FirstThunk指向的 IMAGE_THUNK_DATA 数组里的元素值
        //若 OriginalFirstThunk 为0，就改用FirstThunk值。有些连接器生成PE文件时会置OriginalFirstThunk值为0，这应该算是个bug。
        pIAT = (PIMAGE_THUNK_DATA)(dwBaseAddr + pImportDes->FirstThunk);
        if (pImportDes->OriginalFirstThunk)
        {
            pThunk = (PIMAGE_THUNK_DATA)(dwBaseAddr + pImportDes->OriginalFirstThunk);
        }
        else
        {
            pThunk = pIAT;
        }

        dwIndex = 0;
        
        do 
        {
            //有些情况下一些函数仅由序数引出,对应该函数的 IMAGE_THUNK_DATA 值
            //的低位字指示函数序数，而最高二进位 (MSB)设为1。
            //32位时IMAGE_ORDINAL_FLAG = 0x80000000h。
            dwIndex = *(DWORD*)pThunk;
            if (dwIndex != 0)
            {
                if ((dwIndex & IMAGE_ORDINAL_FLAG) == 0)
                {
                    //得到函数名，继续向后跳2字节
                    if (strcmp((PCHAR)(dwBaseAddr + dwIndex + 2), szFuncName) == 0)
                    {
                        //找到了，先保存原始数据
                        pIATHookData->dwValueAddr = (DWORD)pIAT;
                        pIATHookData->dwOriginValue = *(DWORD*)pIAT;
                        
                        //修改IAT
                        VirtualProtect(pIAT, 4, PAGE_EXECUTE_READWRITE, &dwOriginProtect);
                        *(DWORD*)pIAT = pIATHookData->dwNewValue;
                        VirtualProtect(pIAT, 4, dwOriginProtect, &dwOriginProtect);
                        return    0;
                    }
                }
            }
            //换下一个
            pThunk ++;
            pIAT ++;
        } while (1);
        //取下一模块
        pImportDes ++;
    }
    return    0;
}

/************************************************************************/
/* 
功能：修股
参数：
原理：
*/
/************************************************************************/
DWORD IATUnHook(PIATHOOK_DATA pIATHookData)
{
    DWORD    dwOriginProtect;

    VirtualProtect((PVOID)pIATHookData->dwValueAddr, 4, PAGE_EXECUTE_READWRITE, &dwOriginProtect);
    *(DWORD*)pIATHookData->dwValueAddr = pIATHookData->dwOriginValue;
    VirtualProtect((PVOID)pIATHookData->dwValueAddr, 4, dwOriginProtect, &dwOriginProtect);
    return    0;
}

实现结果

会听到电脑哔一声然后弹出窗口