对于 HOOK 技术,我想大家都比较了解了,今天,搞了一个晚上的 HOOK PE,
希望能够达到勾住 到处函数的目的,技术不是什么新技术,仅仅为了了解它的工作过程而已。。。
网上代码有现成的,不过,写得有些不对的地方。。。
1:在获取模块基址的时候,函数使用错了。。。 应该是这样,不然,你的程序就悲剧了,调试了老半天才发现, pName = strrchr( pSysModule->ImageName, '//' );
这是获取执行文件 /... 这种形式,方便后边取执行文件的名字。。。
说一下函数的执行过程吧:
1:首先得到 ntkrnlpa.exe(多核, ntoskrnl.exe,单核) 模块的基址(注意单核或者多核的情况,他们不同),
2:取得基址后,解析这个 PE 文件, 在 .edata 段,查找 你所需要的函数的地址,找到后,保存好原来函数的地址,
通过 基址 + 偏移的方式,可以很快的确定我们要找的函数,通过修改 偏移量,替换成我们的函数地址,达到了HOOK 的效果,
然后,在我们的 函数中,可以做一些其他的处理,最后,通过原来保留的函数指针,调用原来的函数。。。