本文深入探讨Sandboxie如何在启动子进程时进行hook操作。通过分析汇编代码，揭示了在64位和32位环境下，Sandboxie介入的关键点在于FindActCtxSectionString函数，以此接管进程加载，实现全面的hook工作。文章详细阐述了函数调用链，并以流程图形式总结了整个过程。
研究Sandboxie知道，在Sandboxie一开始加载子进程时，就已经开始了hook工作。
那Sandboxie究竟是在哪一节点开始介入的呢？
本篇进行追根溯源。
上一篇提到，Dll_InitInjected()中对许多模块进行了初始化：
这时候，Sandboxie已经在对子进程模块进行hook工作了。
Dll_InitInjected()的上一层是Dll_Ordinal1()，再上一层就是汇编代码了。而汇编代码的调用又有64位和32位的区别。
注意：本文提到的64位是指，在64位操作系统下运行的64位程序。32位是指，在64位操作系统下运行的32位程序，即wow64。
在64位中，Dll_Ordinal1()在entry_asm.asm中被调用：
32位在lowlevel_code.c中调用：
最低0.47元/天 解锁文章
49
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
