在用户模式下用api hook 防止外挂使用的一些函数,有什么难点和缺点?

erictb 2006-02-13 09:11:26

在用户模式下用api hook 防止外挂使用的一些函数,有什么难点和缺点?能详细说下么?

...全文

79 1 打赏收藏转发到动态举报

写回复

用AI写文章

1 条回复

切换为时间正序

请发表友善的回复…

发表回复

erictb 2006-02-13

打赏
举报

API_Hook完全手册.docxAPI_Hook完全手册.docxAPI_Hook完全手册.docxAPI_Hook完全手册.docx

当你在网络上抓到一些数据包，想知道这些包是哪个进程发出来的时候，怎么办？这个小工具也许能帮一些忙。这个工具采用的是HOOK进程的winsock API，把一些数据记录下来。 HOOK API在《windows核心编程》提到的有两种， 1.1 修改IAT。缺点：象shellcode中常用的那种根据DLL输出表来计算函数地址的方法，修改IAT就无法HOOK到目标函数了。 1.2 修改目标函数的前几字节，跳转到我们的函数，我们的函数里面再把那几个字节还原，调用原函数。重复。缺点：多线程环境下这种方法并不健壮。 29A杂志里面的文章《挂钩Windows API》也提到了几种办法：（中译文见http://www.xfocus.net/articles/200403/681.html） 2.1 patch静态文件，即运行前挂钩. 2.2 也是修改IAT，跟1.1一样. 2.3 修改目标函数的前几个字节，跳转到新的函数，但不再调用原始函数，无实际意义，作者只是做演示？ 2.4 这种方法(3.2.3 保存原始函数)很COOL，其中的亮点和难点就是“获取任意地址的指令长度”。之前我也想用2.4这种办法，但卡在如何“获取任意地址的指令长度”上面了:( 在看到《挂钩Windows API》这篇文章之前，我取了一个比较简单有效的办法： 3.1 把目标函数的DLL COPY一份到内存中，修改原目标函数的前几字节，跳转到我们的函数，在我们的函数中调用原函数新的COPY。

注：本文是根据我两年前写的一个系统行为监测程序写成（参考了一些书籍和文章）。最近在论坛上看到有不少人在问关于API Hook的问题，便写成此文，希望能对朋友们在写API Hook代码的时候能够有所帮助。 1 基本原理 API Hook是什么我就不多说了，直接进入正题。API Hook技术主要有下面的技术难点： 1. 如何将自己的的代码Inject到其他进程 2. 如何Hoo

注：本文是根据我两年前写的一个系统行为监测程序写成（参考了一些书籍和文章）。最近在论坛上看到有不少人在问关于API Hook的问题，便写成此文，希望能对朋友们在写API Hook代码的时候能够有所帮助。1 基本原理API Hook是什么我就不多说了，直接进入正题。API Hook技术主要有下面的技术难点：1. 如何将自己的的代码Inject到其他进程2. 如何Hook到API1.1

API Hook完全手册1 基本原理
API Hook是什么我就不多说了，直接进入正题。API Hook技术主要有下面的技术难点：
1.     如何将自己的的代码Inject到其他进程
2.     如何Hook到API1.1 代码的Injection
常用的方法有：
1.     使用注册表HKLM/Software/Microsoft/Windows NT/CurrentVersion/Windows/AppInit_DLLs

VC/MFC

16,551

社区成员

421,606

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

VC/MFC社区版块或许是CSDN最“古老”的版块了，记忆之中，与CSDN的年龄几乎差不多。随着时间的推移，MFC技术渐渐的偏离了开发主流，若干年之后的今天，当我们面对着微软的这个经典之笔，内心充满着敬意，那些曾经的记忆，可以说代表着二十年前曾经的辉煌……
向经典致敬，或许是老一代程序员内心里面难以释怀的感受。互联网大行其道的今天，我们期待着MFC技术能够恢复其曾经的辉煌，或许这个期待会永远成为一种“梦想”，或许一切皆有可能……
我们希望这个版块可以很好的适配Web时代，期待更好的互联网技术能够使得MFC技术框架得以重现活力，……

试试用AI创作助手写篇文章吧

+ 用AI写文章