输入表与HOOK

最新推荐文章于 2022-06-06 20:44:40 发布
最新推荐文章于 2022-06-06 20:44:40 发布
阅读量3.3k 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xue_you/article/details/9165305
版权

难过哎，刚开始确实难得看懂，不过耐心看下去就好了


首先很有必要知道几个结构 


IMAGE_DOS_HEADER *pidh;    //DOS头
MAGE_NT_HEADERS *pinh;   //NT头
IMAGE_DATA_DIRECTORY *pSymbolTable;  //数据目录
MAGE_IMPORT_DESCRIPTOR *piid;   //输入表

IMAGE_THUNK_DATA   //函数结构



IMAGE_DOS_HEADER 通过程序的模块句柄换转获得    (IMAGE_DOS_HEADER *)模块句柄;

 MAGE_NT_HEADERS  通过 基址 + DOS头结构中的 e_ifanew 标志   给出 .  机制就是将模块句柄强制转换 DWORD类型

IMAGE_DATA_DIRECTORY  通过 NT头的可选头 DataDirectory[1] 成员就是输入表数据目录

MAGE_IMPORT_DESCRIPTOR  通过 基址 + 输入表.VirtualAddress   给出输入表模块的第一个DLL

IMAGE_THUNK_DATA  基址 + 输入表.OriginalFirstThunk  等于 函数名 的 RVA

IMAGE_THUNK_DATA  基址 + 输入表.FirstThunk等于 IAT ，也就是函数呼叫地址




下面给出例子源码，c++程序


#include <windows.h>
#include <iostream>

typedef int (WINAPI *MsgBoxType)(HWND,LPCWSTR,LPCWSTR,UINT); 
MsgBoxType oldMsg;  /*API原入口地址*/
int WINAPI  MyMessage(HWND hWnd ,LPCWSTR M1,LPCWSTR M2, UINT M3);
DWORD APIAddress; /*存储API入口地址的地方的地址*/
int WINAPI WinMain( __in HINSTANCE hInstance, __in_opt HINSTANCE hPrevInstance, __in LPSTR lpCmdLine, __in int nShowCmd )
{
	/* 1 */HANDLE hCurrent = GetModuleHandle(NULL);
	/* 2 */IMAGE_DOS_HEADER *pidh;    //DOS头
	/* 3 */IMAGE_NT_HEADERS *pinh;   //NT头
	/* 4 */IMAGE_DATA_DIRECTORY *pSymbolTable;  //数据目录
	/* 5 */IMAGE_IMPORT_DESCRIPTOR *piid;   //输入表


	/* 6 */pidh = (IMAGE_DOS_HEADER *)hCurrent; 
	/* 7 */pinh = (IMAGE_NT_HEADERS *)((DWORD)hCurrent + pidh->e_lfanew);  
	/* 8 */pSymbolTable = &pinh->OptionalHeader.DataDirectory[1]; //输入表
	/* 9 */piid =(IMAGE_IMPORT_DESCRIPTOR *)((DWORD)hCurrent +  pSymbolTable->VirtualAddress); //输入表的相对虚拟地址RVA,
	//0x00cb0000+
	/*10 */do {
		/*11 */    IMAGE_THUNK_DATA *pitd,*pitd2;
		/*12 */    pitd = (IMAGE_THUNK_DATA *)((DWORD)hCurrent + piid->OriginalFirstThunk);  //pitd 等于函数名的RVA
		/*13 */    pitd2 = (IMAGE_THUNK_DATA *)((DWORD)hCurrent + piid->FirstThunk);     //pitd2 等于函数的RVA



		/*14 */    do {
			/*15 */ IMAGE_IMPORT_BY_NAME *piibn;
			/*16 */ piibn = (IMAGE_IMPORT_BY_NAME *)((DWORD)hCurrent +  *((DWORD *)pitd));
			/*17 */ PROC *ppfn = (PROC *)(pitd2->u1.Function);
			/*18 */ if (!strcmp("MessageBoxW",(char *)piibn->Name)) {
				/*19 */     oldMsg = (MsgBoxType)(ppfn);
				/*20 */     DWORD addr = (DWORD)MyMessage;
				/*21 */     DWORD written = 0;
				/* 改变内存读写状态 */
				/*22 */     DWORD oldAccess;
				/*23 */     VirtualProtect(&pitd2->u1.Function,sizeof(DWORD),PAGE_WRITECOPY,&oldAccess);
				/*24 */     APIAddress = (DWORD)&pitd2->u1.Function;
				/* 向内存映像写入数据 */
				/*25 */     WriteProcessMemory(GetCurrentProcess(),&pitd2->u1.Function, &addr,sizeof(DWORD), &written);
				/*26 */ }
			/*27 */ pitd++;pitd2++;
			/*28 */    } while (pitd->u1.Function);






		/*29 */    piid++;
		/*30 */} while (piid->FirstThunk + piid->Characteristics 
			+ piid->ForwarderChain + piid->Name + piid->TimeDateStamp);


		MessageBoxW(NULL,L"呵呵",NULL,NULL);

	return 0;
}

int WINAPI  MyMessage(HWND hWnd ,LPCWSTR M1,LPCWSTR M2, UINT M3) {
	/* 这是用来替换的函数 */




	return oldMsg(hWnd,L"被修改啦",M2,MB_OK);
}

大致过程就是获得指定函数的详细信息， 比较函数名，如果等于你想要HOOK的，就改写内存地址的属性，然后修改 函数的IAT为你自己的，


接下来就是 跨进程 API HOOK ，先给出源码


DLL源码

#include <windows.h>
#include <iostream>

/*DLL 入口函数*/


HHOOK hook;
HINSTANCE hIns;
HWND wind;
DWORD Treeid;
LRESULT CALLBACK GetMsgProc(int,WPARAM, LPARAM);
//void UnHookAPIHook();
typedef int (WINAPI *MsgBoxType)(HWND,LPCWSTR,LPCWSTR,UINT); 
MsgBoxType oldMsg;  /*API原入口地址*/
int WINAPI  MyMessage(HWND hWnd ,LPCWSTR M1,LPCWSTR M2, UINT M3);
DWORD APIAddress; /*存储API入口地址的地方的地址*/
int HookApi() ;
BOOL WINAPI DllMain(HINSTANCE hInst, DWORD reason,LPVOID lpvReserved)
{
	switch (reason)
	{

	case DLL_PROCESS_ATTACH:
	//MessageBoxW(NULL,L"加载DLL",NULL,NULL);
	hIns = hInst;
		break;
	case DLL_PROCESS_DETACH:
		//MessageBoxW(NULL,L"装卸DLL",NULL,NULL);
		break;
	}
	return true;
}



extern "C" __declspec(dllexport) BOOL SetAPIHook(HWND target) 
{
	wind = FindWindowW(NULL,L"Dialog");
	Treeid =  GetWindowThreadProcessId(wind,NULL);
	hook = SetWindowsHookEx(WH_GETMESSAGE,GetMsgProc,hIns,Treeid);    

	
	 

		//PostThreadMessage(pg_data->idTarget,WM_ENABLEAPIHOOK,0,0);

	return TRUE;
}


LRESULT CALLBACK GetMsgProc(int nCode,WPARAM wParam, LPARAM lParam) {
	
	
	
	
	if (nCode == HC_ACTION) 
	{
		MSG *msg = (MSG *)lParam;
	//	MessageBoxW(wind,L"失去焦点",NULL,NULL);
		if (msg->message == WM_KEYDOWN)
		{
			HookApi();
		MessageBoxW(wind,L"失去焦点",NULL,NULL);
		

		}

	}
	return CallNextHookEx(hook,nCode,wParam,lParam);
}


int HookApi() {

	/* 1 */HANDLE hCurrent = GetModuleHandle(NULL);
	/* 2 */IMAGE_DOS_HEADER *pidh;    //DOS头
	/* 3 */IMAGE_NT_HEADERS *pinh;   //NT头
	/* 4 */IMAGE_DATA_DIRECTORY *pSymbolTable;  //数据目录
	/* 5 */IMAGE_IMPORT_DESCRIPTOR *piid;   //输入表


	/* 6 */pidh = (IMAGE_DOS_HEADER *)hCurrent; 
	/* 7 */pinh = (IMAGE_NT_HEADERS *)((DWORD)hCurrent + pidh->e_lfanew);  
	/* 8 */pSymbolTable = &pinh->OptionalHeader.DataDirectory[1]; //输入表
	/* 9 */piid =(IMAGE_IMPORT_DESCRIPTOR *)((DWORD)hCurrent +  pSymbolTable->VirtualAddress); //输入表的相对虚拟地址RVA,
	//0x00cb0000+
	/*10 */do {
		/*11 */    IMAGE_THUNK_DATA *pitd,*pitd2;
		/*12 */    pitd = (IMAGE_THUNK_DATA *)((DWORD)hCurrent + piid->OriginalFirstThunk);  //pitd 等于函数名的RVA
		/*13 */    pitd2 = (IMAGE_THUNK_DATA *)((DWORD)hCurrent + piid->FirstThunk);     //pitd2 等于函数的RVA



		/*14 */    do {
			/*15 */ IMAGE_IMPORT_BY_NAME *piibn;
			/*16 */ piibn = (IMAGE_IMPORT_BY_NAME *)((DWORD)hCurrent +  *((DWORD *)pitd));
			/*17 */ PROC *ppfn = (PROC *)(pitd2->u1.Function);
			/*18 */ if (!strcmp("MessageBoxW",(char *)piibn->Name)) {
				/*19 */     oldMsg = (MsgBoxType)(ppfn);
				/*20 */     DWORD addr = (DWORD)MyMessage;
				/*21 */     DWORD written = 0;
				/* 改变内存读写状态 */
				/*22 */     DWORD oldAccess;
				/*23 */     VirtualProtect(&pitd2->u1.Function,sizeof(DWORD),PAGE_WRITECOPY,&oldAccess);
				/*24 */     APIAddress = (DWORD)&pitd2->u1.Function;
				/* 向内存映像写入数据 */
				/*25 */     WriteProcessMemory(GetCurrentProcess(),&pitd2->u1.Function, &addr,sizeof(DWORD), &written);
					return 0;
				/*26 */ }
			/*27 */ pitd++;pitd2++;
			/*28 */    } while (pitd->u1.Function);






		/*29 */    piid++;
		/*30 */} while (piid->FirstThunk + piid->Characteristics 
			+ piid->ForwarderChain + piid->Name + piid->TimeDateStamp);

}


int WINAPI  MyMessage(HWND hWnd ,LPCWSTR M1,LPCWSTR M2, UINT M3) {
	/* 这是用来替换的函数 */

	MessageBoxW(hWnd,L"呵呵",NULL,NULL);


	return oldMsg(hWnd,L"被修改啦",M2,MB_OK);
}


extern "C" __declspec(dllexport) void UnHookAPIHook()
{


	UnhookWindowsHookEx(hook);
}


程序源码


#include <windows.h>
#include <iostream>
#include "resource.h"


typedef BOOL (*PSetAPIHook)(HWND);
typedef void (*PUnHookAPIHook)();
BOOL CALLBACK DialogProc(HWND hwndDIG , UINT UMsg , WPARAM wParam, LPARAM lParam);
HMODULE hDll = NULL;
PSetAPIHook SetAPIHook;
PUnHookAPIHook UnHookAPIHook;


int WINAPI WinMain( __in HINSTANCE hInstance, __in_opt HINSTANCE hPrevInstance, __in LPSTR lpCmdLine, __in int nShowCmd )
{

	DialogBoxW(hInstance,(wchar_t*)IDD_DIALOG1 ,NULL,DialogProc);
	


	return 0;
}


BOOL CALLBACK DialogProc(HWND hwndDIG , UINT UMsg , WPARAM wParam, LPARAM lParam)
{
	switch (UMsg)

	{

	case   WM_INITDIALOG :

		return TRUE ;



	case   WM_COMMAND :

		switch (LOWORD (wParam))

		{

		case   IDC_BUTTON1 :
			hDll = LoadLibraryW(L"例子.dll");
			SetAPIHook = (PSetAPIHook)GetProcAddress(hDll,"SetAPIHook");
			SetAPIHook(NULL);

			//MessageBoxW(hwndDIG,L"这是按钮1",NULL,NULL);
			return TRUE ;

		case   IDC_BUTTON2 :
			//hDll = LoadLibraryW(L"例子.dll");
			UnHookAPIHook = (PUnHookAPIHook)GetProcAddress(hDll,"UnHookAPIHook");
			UnHookAPIHook();
			//MessageBoxW(hwndDIG,L"这是按钮2",NULL,NULL);

			//IDOK
			return TRUE ;

		case   IDOK :

			EndDialog (hwndDIG, 0) ;
			return TRUE ;
		case   IDCANCEL :

			EndDialog (hwndDIG, 0) ;
			return TRUE ;


		}

		break ;

	}



	return FALSE ;


}

稍后给出详解...


学友2000
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
c++ hook 软件输入框
07-31
c++ hook 软件输入框，实时显示密码框输入的内容，前提是没有经过处理的，类似QQ密码输入框，肯定是不行的，因为TX做了特殊处理啦。要不盗取QQ是件多么容易的事。
hook类输出表hook、过滤等等功能
陈小与的专栏
08-17 650
放出一个自己写的hook类，我的个人库中的一个小类，C++的， 支持inline hook 支持ita hook  支持输出表hook, 还支持虚函数hook, 甚至你还可以给代码安装一个过滤函数等等功能。在过滤函数中，你可以读取堆栈内容和寄存器内容。 绝对让你用得爽歪歪 一般的inline hook  你得计算偏移地址 你得保存原来的函数头代码 你得申请一段可执行的内
输入地址表（IAT）
weixin_33831673的博客
10-02 108
输入地址表（IAT） 转载于:https://www.cnblogs.com/LoveFishC/archive/2012/10/02/3846789.html
PE头手动解析-40
DXH9701的博客
10-19 169
手动解析PE头
iat输入表hook的源码
最新发布
09-14
以下是对"IAT输入表hook的源码"进行详细解释的知识点： 1. **导入地址表(IAT)** - IAT是PE文件（Portable Executable，Windows可执行文件格式）的一部分，它记录了程序需要从其他DLL中调用的函数地址。 - 当一个...
原始输入键盘钩子（raw input hook）
07-19
与传统的键盘钩子（keyboard hook）相比，原始输入提供了更底层、更高效且更安全的方式来捕获键盘事件。本技术主要适用于开发者想要对键盘输入进行深度定制或分析的场景。 在Windows编程中，通常使用...
使用apihook键盘全局钩子,记录键盘输入.zip
03-28
在本项目"使用apihook键盘全局钩子,记录键盘输入.zip"中，开发者利用API Hook来实现全局键盘钩子，从而记录用户的键盘输入。下面我们将深入探讨API Hook的基本原理、实现方法以及如何应用于键盘全局钩子。 API Hook...
HOOK实例之一：实现键盘钩子截获密码等键盘输入（vs2013详细流程）
Childe_Mu的博客
01-29 1万+
最近因业务需求，做一款银行安全控件，其中需要用到HOOK，网上查了很多资料，但是很多demo经过测试都用不了（可能是个人技术水平等原因），百般曲折之后，了解HOOK的皮毛，所以决定分享出来，希望可以帮到其他萌新。 1.创建一个MFC应用程序解决方案——KeyboardHook（用MFC是因为MFC有页面，更直观），中间选应用程序类型选基于对话框，其他一直下一步，最后点击完成。
关于HOOK,如何通过钩子截获指定窗口的所有消息 SetWindowsHookEx demo
热门推荐
q610098308的专栏
09-11 2万+
具体使用见demo , 请注意: 32位只能用win32库， 64位 需要用64位 库。64位可以hook６４位程序，32位可以hook32位程序； SetWindowsHookEx 第三个参数为HINSTANCE，通过FindWindow找到指定窗口句柄后如何 得到该进程的HINSTANCE呢？ 这个参数应该是你调用SetWindowsHookEx的DLL的模块实例句柄...
React - Hook 动态添加多行记录，针对输入框操作的一种实现方式
u011415782的专栏
12-01 1210
背景 初涉 【React - Hooks】 前端知识 发现动态生成多条记录时，输入框数据变化的绑定事件是个常见的知识点 在此记录一番，希望能帮到踩坑的小伙伴 以变化 SKU 商品售价 为例，需求截图如下： 实现步骤： ①. 在定义组件时，就可以初始化赋值一个，SKU 售价数组 —— "skuSellingPrice" // 组件初始化赋值 ··· const [skuSellingPrice,setSkuSellingPrice] = React.useState([]); ··· ..
PE结构
猫与火花
03-27 173
PE : 头文件解析 dos头： word e_magin ; // “MZ标记”用于判断是否为可执行文件 ...... D word e_IFanew // PE头相当于文件的偏移地址，用于定位PE文件 通过dos头去寻找PE开始的地方：你知道 E8 是啥不 ...
导入表注入（又称静态HOOK自动HOOK）
LiWeiHua01的博客
06-06 430
导入表注入自动HOOK静态HOOK
输入表
weixin_33940102的博客
06-18 62
输入表 转载于:https://www.cnblogs.com/LoveFishC/p/3846901.html
API Hook基本原理和实现
创世元年
11-13 1438
 API Hook基本原理和实现[图文] hook是什么？     windows系统下的编程，消息message的传递是贯穿其始终的。这个消息我们可以简单理解为一个有特定意义的整数，正如我们看过的老故事片中的“长江长江，我是黄河”一个含义。windows中定义的消息给初学者的印象似乎是“不计其数”的，常见的一部分消息在winuser.h头文件中定义。hook与消息有着非常密切的联系，它的
IAT hook实现 (修改pe中的导入表实现hook)
&Ψ的博客
07-21 1428
IDA hook的编写 1. 实现hook的原理 在pe文件中有导入表，导入表中用函数名字和地址，我们把这个地址改变做到hook的效果。一下所有代码是32位的只使用了c语言 之前分析过导入表，本文不在分析只实现hook pe结构解析 实现所用到的Windows api //用于获取当前模块的基地址 GetModuleHandleA(NULL) HMODULE WINAPI GetModuleHandleA( _In_opt_ LPCSTR lpModuleName ); //用于修改内存属
PE文件与输入表免杀技术详解
输入表免杀只是免杀技术的一个方面，还有其他技术如特征码免杀、壳技术、混淆编码等，可以与输入表免杀结合使用，提高程序的隐蔽性。 7. 总结： 输入表免杀是提升恶意软件生存能力的重要手段，通过理解和掌握PE...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值