學(xué)海苦作舟，書(shū)山勤為徑

留下點(diǎn)回憶

導(dǎo)航

<

2005年12月

>

日

一

二

三

四

五

六

27

28

29

30

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

1

2

3

4

5

6

7

公告

Web Counter

留言簿(47)

隨筆分類(126)

文章分類

隨筆檔案(151)

相冊(cè)

技術(shù)

閱讀排行榜

評(píng)論排行榜

常用鏈接

統(tǒng)計(jì)

隨筆 - 151
文章 - 0
評(píng)論 - 501
引用 - 0

積分與排名

積分 - 485883
排名 - 44

采用修改導(dǎo)入節(jié)的HOOK方式使用范圍

HOOK有很多種方法，修改導(dǎo)入節(jié)的指定API地址是一種方式，但這種方式有缺限，請(qǐng)看下面解釋。
一般的PE文件對(duì)于靜態(tài)導(dǎo)入的文件在其導(dǎo)入節(jié)中指定對(duì)應(yīng)的API地址，但WINDOWS中的很多庫(kù)文件是以DLL的方式連接的，因此在PE的導(dǎo)入節(jié)中并沒(méi)有該符號(hào)的定義，所以使用這種方式對(duì)于那些使用LOADLIBARY和GETPROCESS的PE文件就HOOK不成功了。
這個(gè)時(shí)候應(yīng)該使用其他的HOOK辦法，例如：遠(yuǎn)程線程技術(shù)。

posted on 2006-03-06 16:59 笨笨閱讀(974) 評(píng)論(3) 編輯收藏引用

評(píng)論

# re: 采用修改導(dǎo)入節(jié)的HOOK方式使用范圍 2006-03-07 20:05 code4fun

按照你前面說(shuō)的，應(yīng)該是HOOK API，只是我不知道你后來(lái)說(shuō)遠(yuǎn)程線程是什么意思。遠(yuǎn)程線程只不過(guò)是一種Inject DLL的方式，至于你說(shuō)的要HOOK API，一種解決方法就是在函數(shù)入口 Jmp detours function 回復(fù) 更多評(píng)論

# re: 采用修改導(dǎo)入節(jié)的HOOK方式使用范圍 2006-03-07 21:40 笨笨

我后來(lái)也看到了這個(gè)問(wèn)題，遠(yuǎn)程線程是一方面，但修改導(dǎo)入節(jié)對(duì)于動(dòng)態(tài)調(diào)用的方式是不行的，需要取得GetProcAddress來(lái)得到地址，且跳轉(zhuǎn)。回復(fù) 更多評(píng)論

# re: 采用修改導(dǎo)入節(jié)的HOOK方式使用范圍 2006-04-01 17:33 Leon

呵呵,都不知道你反復(fù)提到遠(yuǎn)程線程是為什么,遠(yuǎn)程線程作為置入DLL的方法還是不錯(cuò)的,對(duì)于動(dòng)態(tài)加載的DLL,修改導(dǎo)入節(jié)的方式當(dāng)然是不行的,而且使用過(guò)程中會(huì)發(fā)現(xiàn),很多人還是偏向于使用動(dòng)態(tài)加載的,所以說(shuō),修改函數(shù)頭才是王道啊.沒(méi)見(jiàn)Detours用起來(lái)是那么的爽嗎. 回復(fù) 更多評(píng)論

刷新評(píng)論列表

只有注冊(cè)用戶登錄后才能發(fā)表評(píng)論。




網(wǎng)站導(dǎo)航: 博客園 IT新聞 BlogJava 博問(wèn) Chat2DB 管理