导入表注入(iathook)

头文件(hookMain.h)内容

cpp 复制代码
#pragma once
#include<Windows.h>

DWORD* g_iatAddr = NULL;
DWORD* g_unHookAddr = NULL;

BOOL InstallHook(); //安装钩子
BOOL UninstallHook(); //卸载钩子
DWORD* GetIatAddr(const char* dllName, const char* dllFuncName);

源文件(iatHookMain.cpp)内容

cpp 复制代码
#include "hookMain.h"

int WINAPI HookMessageBoxW( //必须指定调用约定,否则注入时会弹错误窗口
	HWND    hWnd,
	LPCWSTR lpText,
	LPCWSTR lpCaption,
	UINT    uType
)
{
	int result = MessageBoxA(0, "51hook", "提示", MB_OK);
	return result;
}

BOOL InstallHook() //安装钩子
{
	DWORD  dwOldProtect = 0;
	VirtualProtect(g_iatAddr, 4, PAGE_EXECUTE_READWRITE, &dwOldProtect);
	*g_iatAddr = (DWORD)HookMessageBoxW;
	VirtualProtect(g_iatAddr, 4, dwOldProtect, &dwOldProtect);
	return TRUE;
}

BOOL UninstallHook() //卸载钩子
{
	DWORD  dwOldProtect = 0;
	VirtualProtect(g_iatAddr, 4, PAGE_EXECUTE_READWRITE, &dwOldProtect);
	*g_iatAddr = (DWORD)g_unHookAddr;
	VirtualProtect(g_iatAddr, 4, dwOldProtect, &dwOldProtect);
	return TRUE;
}

DWORD* GetIatAddr(const char* dllName, const char* dllFuncName)
{
	HMODULE hModule = GetModuleHandleA(0); //获取当前进程exe文件模块句柄
	DWORD dwhModule = (DWORD)hModule;

	PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)hModule; //获取dos头
	PIMAGE_NT_HEADERS  pNtHeader = (PIMAGE_NT_HEADERS)(pDosHeader->e_lfanew + dwhModule); //获取NT头
	PIMAGE_OPTIONAL_HEADER pOptionHeader = &pNtHeader->OptionalHeader; //获取可选PE头
	IMAGE_DATA_DIRECTORY dataDirectory = pOptionHeader->DataDirectory[1]; //获取数据目录表
	PIMAGE_IMPORT_DESCRIPTOR pImageImportTable = (PIMAGE_IMPORT_DESCRIPTOR)(
		dataDirectory.VirtualAddress + dwhModule); //获取导入表
	while (pImageImportTable->Name) //	遍历导入表获取符合条件的函数
	{
		char* iatDllName = (char*)(pImageImportTable->Name + dwhModule);
		if (_stricmp(iatDllName, dllName) == 0)
		{
			PIMAGE_THUNK_DATA pInt = (PIMAGE_THUNK_DATA)(pImageImportTable->OriginalFirstThunk
				+ dwhModule); //获取导入名称表
			PIMAGE_THUNK_DATA pIat = (PIMAGE_THUNK_DATA)(pImageImportTable->FirstThunk
				+ dwhModule); //获取导入地址表

			while (pInt->u1.Function)
			{
				if ((pInt->u1.Ordinal & 0x8000000) == 0)
				{
					PIMAGE_IMPORT_BY_NAME pImportName = (PIMAGE_IMPORT_BY_NAME)(pInt->u1.Function + dwhModule);
					if (_stricmp(pImportName->Name, dllFuncName) == 0)
					{
						return (DWORD*)pIat;
					}
				}
				++pInt;
			}

		}

		++pImageImportTable;
	}
	return NULL;
}


BOOL WINAPI DllMain(HINSTANCE hInstance, DWORD callReason, LPVOID lpReservered)
{
	if (callReason == DLL_PROCESS_ATTACH)
	{
		/**
		 * 1 获取iat表
		 * 2 保存要hook的函数地址
		 * 3 安装钩子
		 */
		g_iatAddr = GetIatAddr("user32.dll", "MessageBoxW");
		g_unHookAddr = (DWORD*)* g_iatAddr;
		InstallHook();
	}
	else if (callReason == DLL_PROCESS_DETACH)
	{
		UninstallHook();
	}
	return TRUE;
}
相关推荐
Bruce_Liuxiaowei1 小时前
Netstat高级分析工具:Windows与Linux双系统兼容的精准筛查利器
linux·运维·网络·windows·安全
Par@ish1 小时前
【网络安全】恶意 Python 包“psslib”仿冒 passlib,可导致 Windows 系统关闭
windows·python·web安全
开开心心就好3 小时前
高效报价软件,简化商铺定价流程
服务器·数据库·安全·面试·职场和发展·电脑·symfony
科技云报道10 小时前
2025全球数字经济大会—云智算安全论坛暨第三届“SecGo论坛”成功召开!共筑安全新生态
安全
emplace_back11 小时前
C# 集合表达式和展开运算符 (..) 详解
开发语言·windows·c#
群联云防护小杜13 小时前
构建分布式高防架构实现业务零中断
前端·网络·分布式·tcp/ip·安全·游戏·架构
独行soc14 小时前
2025年渗透测试面试题总结-2025年HW(护网面试) 33(题目+回答)
linux·科技·安全·网络安全·面试·职场和发展·护网
一禅(OneZen)15 小时前
「Windows/Mac OS」AIGC图片生成视频 ,webui + stable-diffusion环境部署教程
windows·stable diffusion
AirDroid_cn15 小时前
OPPO手机怎样被其他手机远程控制?两台OPPO手机如何相互远程控制?
android·windows·ios·智能手机·iphone·远程工作·远程控制
花木偶16 小时前
【郑大二年级信安小学期】Day6:CTF密码学&杂项&工具包
安全·web安全·密码学