小弟照着《windows核心编程》的讲解做了一个挂接MessageBoxA（）函数的例子。可是在用ReplaceIATEntryInOneMod（）函数挂接时没有成功，ReplaceIATEntryInOneMod做的事情是找出本程序的输入节，然后找到输入节中user32.dll模块的MessageBoxA（）函数的地址。ReplaceIATEntryInOneMod（）执行完后我在本程序中调用了MessageBoxA（）函数，却没有执行我挂接的函数。
我断点跟进去看，发现它的确是找到了user32.dll的地址，但是里面却没有MessageBoxA（）函数的地址。只是为什么，难道MessageBoxA（）函数不在user32.dll模块中？？
ReplaceIATEntryInOneMod（）函数我用的是书上的原码。代码如下：

void ReplaceIATEntryInOneMod(PCSTR pszCalleeModName,PROC pfnCurrent, PROC pfnNew, HMODULE hmodCaller) 

{

   ULONG ulSize;

   /*ReplaceIATEntryInOneMod函数要做的第一件事情是找出hmodCaller模块的输入节，方法是调用ImageDirectoryEntryToData函数，

   给它传递IMAGE_DIRECTORY_ENTRY_IMPORT。如果该函数返回NULL，DataBase.exe模块就没有输入节，并且不进行任何操作。*/

   PIMAGE_IMPORT_DESCRIPTOR pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)

      ImageDirectoryEntryToData(hmodCaller, TRUE,IMAGE_DIRECTORY_ENTRY_IMPORT, &ulSize);

   if(pImportDesc == NULL)

      return;  

   /*如果DataBase.exe有一个输入节，那么ImageDirectoryEntryToData就返回该输入节的地址，该地址是一个类型为PIMAGE_IMPORT_DESCRIPTOR的指针。现在  我们必须查看该模块的输入节，找出包含我们想要修改的输入函数的DLL。for循环负责扫描DLL模块的名字。注意，模块的输入节中的所有字符串都是用ANSI（决不能用Unicode）编写。这就是为什么要显式调用lstrcmpiA而不是lstrcmpi宏的原因。*/

   for(; pImportDesc->Name; pImportDesc++)

   {

      PSTR pszModName = (PSTR)((PBYTE) hmodCaller + pImportDesc->Name);

      if(lstrcmpiA(pszModName, pszCalleeModName) == 0)

         break;

   }



   if(pImportDesc->Name == 0)

      return;



   /*如果该循环终止运行，但是没有找到对“Kernel32.dll”中的任何符号的引用,那么该函数就返回，并且仍然无所事事。*/

   /*如果模块的输入节确实引用了“Kernel32.dll”中的符号，那么将得到包含输入符号信息的IMAGE_THUNK_DATA结构的数组的地址。然后，重复引用来自“Kernel32.dll”的所有输入符号，寻找与符号的当前地址相匹配的地址。*/



   PIMAGE_THUNK_DATA pThunk = (PIMAGE_THUNK_DATA)((PBYTE)hmodCaller + pImportDesc->FirstThunk);

   for(; pThunk->u1.Function; pThunk++) 

   {

  PROC* ppfn = (PROC*) &pThunk->u1.Function;



      // Is this the function we're looking for?

      BOOL fFound = (*ppfn == pfnCurrent);



      /*如果找到了一个匹配的地址，便调用WriteProcessMemory函数，以便改变替换函数的地址。使用WriteProcessMemory函数，而不是InterlockedExchangePointer函数是因为WriteProcessMemory能够改变字节，而不管这些字节拥有什么页面保护属性。*/

      if(fFound)

      {

         WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, sizeof(pfnNew), NULL);

         return;  

      }

   }

}