修改IAT表失败

sunqi 2006-09-25 05:37:04

我用<核心编程>中修改IAT表的方式进行API HOOK,但是部分修改失败，比如我HOOK了MESSAGEBOXA,MESSAGEBOXW，但是调用AFXMESSAGEBOX的仍然无法HOOK到，跟踪后发现部分模块WriteProcessMemory返回998（内存分配访问无效。）请问高手这是为什么啊

...全文

211 3 打赏收藏转发到动态举报

写回复

3 条回复

切换为时间正序

请发表友善的回复…

发表回复

hcj2006 2006-10-07

打赏
举报

回复

微软好像对外提供了专门用于实现api hook的工具包，不行的话，可以去试一试用它

jwt3000 2006-09-30

打赏
举报

回复

XP SP2后有DEP数据执行保护

sunqi 2006-09-26

打赏
举报

回复

谁知道啊？

本文详细介绍了作者在分析GameGuard.des文件时遇到的挑战，该文件被识别为UPX壳，但使用UPX工具脱壳失败。通过汇编代码分析，作者发现这可能是一个被修改过的UPX壳。文中展示了代码的解密过程，并讨论了解密后的代码如何执行，包括API调用的处理和IAT表的构建。虽然最终未能确定为何UPX -D无法完美脱壳，但作者计划编写专门的脱壳工具来应对这种特殊壳。

本文介绍了IAT Hook的基本原理和实现思路，通过修改PE文件的导入表来实现API函数的Hook。详细阐述了 Hook WinExec 函数的过程，包括编写shellcode、获取调试权限、修改远程进程IAT表等步骤，并提供了测试程序源码和运行截图。文章末尾提醒读者，可通过提供的内存注入程序获取PID和WinExec在IAT表的位置，以验证Hook的成功。

本文介绍了IAT Hook的基本步骤，包括其作用、导入表结构以及如何实现简单的MessageBox Hook。通过示例代码展示了如何设置和移除Hook，并讨论了IAT Hook的局限性，如无法Hook非IAT表中的函数及不在同一进程空间的函数。

本文详细讲解利用Scylla工具修复脱壳后PE文件导入表（IAT）的技术流程，涵盖PE结构基础、Scylla工作原理、内存转储、自动/手动IAT重建、修复验证及典型问题排查。重点聚焦于IAT识别、函数指针恢复、DLL映射匹配与PE文件结构调整等核心技术环节，适用于逆向工程与二进制安全分析场景。

本文介绍通过IAT Hook实现程序调用函数时进行记录的方法。思路是先静态分析获取IAT表位置，记录相关字节数据，再编写程序读取IAT表，修改表项指向地址处的数据为0xCC以触发断点异常并处理，最后测试记录扫雷程序中GDI32!SetROP2函数的调用情况。

进程/线程/DLL

15,466

社区成员

49,169

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章