挂钩Windows_API.pdfVIP

===========================[ 挂钩WindowsAPI]================== =====[1. 内容 ]============================================= 1. 内容 2. 介绍 3. 挂钩方法 3.1 运行前挂钩 3.2 运行时挂钩 3.2.1 使用IAT挂钩本进程 3.2.2 改写入口点挂钩本进程 3.2.3 保存原始函数 3.2.4 挂钩其它进程 3.2.4.1DLL 注入 3.2.4.2 独立的代码 3.2.4.3 原始修改 4. 结束语 =====[2. 介绍 ]==================================================== 这篇文章是有关在 OSWindows 下挂钩API 函数的方法。所有例子都在基于NT 技术的 Windows版本NT 4.0及以上有效(Windows NT4.0,Windows2000, WindowsXP)。可能在其它 Windows系统也会有效。 你应该比较熟悉Windows下的进程、汇编器、PE文件结构和一些API函数，才能明白这 篇文章里的内容。 这里使用Hooking API这个术语表示对API 的完全修改。当调用被挂钩的API时，我们的 代码能立刻被执行。我将写下完全的挂钩过程。 =====[3. 挂钩方法 ]============================================== 一般来说我们的目的是用我们的代码取代一些函数里的代码。这些问题有时可以在进程运 行前解决。这些大多数时候可以用我们运行的用户级进程来完成，目的可以是修改程序的行为。 举个例子应用程序的破解，比方说有些程序会在启动时需要原光盘，我们想要不用光盘就启动 它。如果我们修改获取驱动类型的函数我们就可以让程序从硬盘启动。 当我们挂钩系统进程时(比如说服务)这些不可能做到或者我们不打算这么做，或者在这个 例子里我们不知道哪个进程才是目标。这时我们就要用到动态挂钩(在运行时挂钩)的技术。使 用的例子有rootkit 或者病毒里的反杀毒软件的技术。 =====[3.1 运行前挂钩 ]=========================================== 第一种可能是找到函数的入口点然后重写它的代码。这会因为函数的大小而受限制，但我 们能动态加载其它一些模块(API LoadLibrary)，所以应该足够了。 内核函数(kernel32.dll)是通用的因为Windows中每个进程都有这个模块的拷贝。另一个好 处是如果我们知道哪些模块在某版本中会修改，我们可以在一些API 如LoadLibraryA中使用直 接的指针。这是因为kernel模块在内存中地址在相同Windows版本中是固定的。我们同样也能 用动态加载的模块的作用。在这里它的初始化部分在加载进内存后立刻就运行。在新模块的初 始化部分我们不受限制。 第二种可能是在模块中被代替的函数只是原函数的扩展。然后我们选择要么修改开始的5 个字节为跳转指令或者改写IAT。如果改为跳转指令，那么将会改变指令执行流程转为执行我 们的代码。如果调用了IAT记录被修改的函数，我们的代码能在调用结束后被执行。但模块的 扩展没那么容易，因为我们必须注意DLL 首部。 下一个是修改整个模块。这意味着我们创建自己的模块版本，它能够加载原始的模块并调 用原始的函数，当然我们对这个不感兴趣，但重要的函数都是被更新的。这种方法对于有的模 块过大有几百个导出函数的很不方便。 =====[3.2 运行时挂钩 ]========================================== 在运行前挂钩通常都非常特殊，并且是在内部面向具体的应用程序(或模块)。如果我们更 换了kernel32.dll 或ntdll.dll 里的函数(只在NT操作系统里)，我们就能完美地做到在所有将要运 行的进程中替换这个函数。但说来容易做起来却非常难，因为我们不但得考虑精确性和需要编 写比较完善的新函数或新模块，但主要问题是只有将要运行的进程才能被挂钩(要挂钩所有进程 只能重启电脑)。另一个问题是如何进入这些文件，因为NT操作系统保护了它们。比较好的解 决方法在进程正在运行时挂钩。这需要更多的有关知识，但最后的结果相当不错。在运行中挂 钩只对能够写入它们的内存的进程能成功。为了能写入它自己我们使