浅谈 “我对 HOOKPE 的理解”

对于 HOOK 技术，我想大家都比较了解了，今天，搞了一个晚上的 HOOK PE，

希望能够达到勾住 到处函数的目的，技术不是什么新技术，仅仅为了了解它的工作过程而已。。。

网上代码有现成的，不过，写得有些不对的地方。。。

 

1：在获取模块基址的时候，函数使用错了。。。 应该是这样，不然，你的程序就悲剧了，调试了老半天才发现，  pName = strrchr( pSysModule->ImageName, '//' );

这是获取执行文件 /... 这种形式，方便后边取执行文件的名字。。。

 

说一下函数的执行过程吧：

1：首先得到 ntkrnlpa.exe（多核， ntoskrnl.exe，单核） 模块的基址（注意单核或者多核的情况，他们不同），

2：取得基址后，解析这个 PE 文件， 在 .edata 段，查找 你所需要的函数的地址，找到后，保存好原来函数的地址，

通过 基址 + 偏移的方式，可以很快的确定我们要找的函数，通过修改 偏移量，替换成我们的函数地址，达到了HOOK 的效果，

然后，在我们的 函数中，可以做一些其他的处理，最后，通过原来保留的函数指针，调用原来的函数。。。