IAT hook
导入表hook原理:修改导入表中某函数的地址到自己的补丁函数。IATHook
- 通过GetProcAddress获取目标函数地址
- 在程序内存中找到所在dll的导入表
- 查找目标函数地址保存的位置
- 把地址修改为自己补丁函数
问题:当该函数递归调用时,不会被hook
为解决这个问题,可以使用inline hook
inline hook
需要一个代理函数ProxyFunction,调用Function时候,会跳转到代理函数,代理函数执行的最后要执行一个与目标函数一样定义的执行函数OriginalFunnction,这个函数执行的shell code代码。`
//hook 函数Function
typedef HANDLE(WINAPI * PFunction)(_In_ LPCWSTR lpXXX, _In_ DWORD dwXXX);
__declspec(naked) void OriginalFunction()
{
_asm
{
_emit 0x90;
_emit 0x90;
_emit 0x90;
jmp NextInstructionAddress;//此地址存放真正的Function函数地址
}
}
HANDLE WINAPI ProxyFuntion(_In_ LPCWSTR lpXXX, _In_ DWORD dwXXX)
{
//excute your process
OutputDebugStringW(L"ProxyFunnction");
HANDLE ret = (pFunction)OriginalFunction(lpFileName,dwData);
return ret;
}
定义了代理函数和执行函数之后,需要在主函数中建立整个钩子环路。具体原理如下:参见雪花论坛inline hook。