api hook时机问题

[rageliu]

要实现在进程加载完但未开始执行时完成api hook，传统的远线程注入和SetWindowsHookEx注入钩子等方式就不适合了，大家有什么好的方式，我初步想到的几点：

1。注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows键的AppInit_DLLs，在dll的入口处hook
2。替换系统dll，如user32，在自己的user32里完成hook
3。ring0对CreateProcess这类型函数的hook处理

上面几种方式，要处理的地方很多。大家有什么方法，给我些建议，3Q

[rageliu]

测试通过，谢谢大家

[Amuro1987218]

Advapi32.dll入口处挂自己的DLL

[rageliu]

明白楼上的意思，

http://www.osdiy.com/Blog/article.asp?id=14

[zhoujianhei]

3。ring0对CreateProcess这类型函数的hook处理

[ycoder]

mark

[Amuro1987218]

[Quote=引用 2 楼 rageliu 的回复:]
明白楼上的意思，

http://www.osdiy.com/Blog/article.asp?id=14
[/Quote]

打的很准.

CreateProcess HOOK也不错,加载后挂起主现成住进去再急活

[吹泡泡的小猫]

用驱动是最好的方法，AppInit_DLLs就不要想了，反病毒软件会把你的程序当病毒杀掉的

[rageliu]

如果3级有8错的方式可以搞定，个人偏向3级。因为稳定性还是比较重要的

如若CreateProcess挂起方式，又以什么方式注入为佳？

[rageliu]

windows核心编程 第22章第八节
也就是这种方式：http://bbs.pediy.com/showthread.php?t=59746

[cnzdgs]

1。注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows键的AppInit_DLLs，在dll的入口处hook
这个是用户级最方便的方法了，不过有极少数特殊的程序不会加载，可以借助其它方法（例如Hook CreateProcess）让这类进程加载DLL。

2。替换系统dll，如user32，在自己的user32里完成hook
要替换系统的文件不容易，系统在运行过程中这些文件都是被使用的，无法替换，而且系统会自动检查这些文件，发现被替换了会自动还原。

3。ring0对CreateProcess这类型函数的hook处理
如果在内核级处理，Hook创建进程是不行的，而且由内核来LoadLibrary也不合理，应该直接针对你想要拦截的操作。