如何反HOOK? 就是如何知道有程序用HOOK来拦你的程序所用的函数

yangsiwei 2003-04-04 07:27:41

就是如何知道有程序用HOOK来拦你的程序所用的函数

...全文

525 26 打赏收藏转发到动态举报

写回复

用AI写文章

26 条回复

切换为时间正序

请发表友善的回复…

发表回复

verybigbug 2003-07-11

打赏
举报

不Hook,调试总可以吧，现状是防止反调试都没有什么好办法解决。。。

yangsiwei 2003-07-10

打赏
举报

继续讨论~

AthlonxpX86 2003-04-13

打赏
举报

AthlonxpX86 2003-04-10

打赏
举报

mark
不太清楚，要是防止别人hook你看看在调用自己的函数前先自己hook自己的函数，然后自己的HOOK中不要CallNextHookEx，这样你的HOOK就会第一个执行，因为没有CallNextHookEx，所以后面的HOOK就全部实效了，看看我的办法行不行，哈哈，以毒攻毒，

moonboy1980 2003-04-10

打赏
举报

zxyjyzxyjy 2003-04-10

打赏
举报

verybigbug 2003-04-10

打赏
举报

一般情况下你如果使用GetProAddress函数得到的地址进行调用的话就不会被别人Hook，
但是有时候Hook程序可能会Hook GetProAddress函数，这样即使你通过GetProAddress函数
得到的地址也可能被人Hook了，所以，通过使用if(pFun <hLib || pFun >(hLib + size))
就可以判断这个函数的地址是不是在他原来模块的地址空间。如果不在原来的地址空间，肯定
就被别人Hook了。
不方便的地方就是每次调用这个函数时都要用pFun(...);

检测我的程序系统API函数也是可以的，你调用的时候使用pFun(...)方式调用吧。

这种方法只能保证你调用的函数不被人Hook，不能保证其他函数没有被人Hook.

yangsiwei 2003-04-10

打赏
举报

还有如果我是为了检测我的程序系统API函数（比如OpenProcess）的调用是否被HOOK呢？

yangsiwei 2003-04-10

打赏
举报

被别人HOOK的时候，
为什么会pFun < hLib？？？

fingerfox 2003-04-10

打赏
举报

学习！

verybigbug 2003-04-10

打赏
举报

除非他不是通过Hook IAT方式实现而是通过Jmp方式实现Hook API的程序。
如果是通过jmp方式实现的话你只要判断一下代码是不是用jmp就可以了。

pFun = GetProcAddress(hLib, "...");

if(pFun < hLib || pFun > (hLib + codesize))
{
...// 被Hook
}

LPBYTE pByte = (LPBYTE)pFun;

if(*pByte == 0xE9)
{
...// 被Hook 0xE9的代码为 jmp xxxx
}

这个方法没有通用性，对于别的Hook方法可能失效。

yangsiwei 2003-04-10

打赏
举报

可是我用HOOK试了，
仍旧可以勾到。

yangsiwei 2003-04-10

打赏
举报

pFun(...)调用是什么东东？

是不在程序中直接用，
而是先用LoadLibrary("kernel32.dll");
再用GetProAddress取OpenProcess指针用吗？

verybigbug 2003-04-09

打赏
举报

很简单。
用GetProcAddress函数实现。

hLib = GetModuleHandle("MyDll");
pFun = GetProcAddress(hLib, "MyFun");
if(pFun < hLib || pFun > (hLib + DLL的Code大小))
// 被别人Hook 了
以后的调用
pFun(...);
应该就可以防止了吧。

webber84 2003-04-08