原理介绍

上一节学习了通过调试API进行Hook，调试API 改变的是某一个点的时候的线程上下文相关内容，比如函数参数，缓冲区，函数返回地址等

这一节讲手动修改PE结构中的IAT来进行 Hook，通过修改IAT进行Hook实际上是修改进程的IAT地址，然后让目标函数执行的时候，执行我们自己的函数

因为要操作目标进程的内容，所以注入一个dll会比较方便，注入的dll会有目标进程的全部权限，而且也能很好的把Hook函数放到目标进程中去，当然，代码注入也是可以，就是比较麻烦，这里用dll注入来实现

这里还是以64位的记事本为例，目标是Hook WriteFile API，来让每次执行的时候弹个框（因为只是练习Hook，所以不用太复杂的功能）

首先我们要先了解一下64位下的IAT与32位有什么区别

遍历64位IAT函数名称和地址

在定位64位IAT的时候，遇到了点坑，那就是忽视了32位和64位区别所导致的，后来我专门来遍历一下64位进程的IAT了解

首先要了解一个API：GetModuleHandle，参数只有1个，是目标模块名，这里填NULL表示当前进程，返回的是一个模块句柄，也就是当前进程的首地址

以此为基础，我们就可以开始定位IAT了，下面源代码是定位64位当前进程IAT函数名称和地址（具体关于IAT相关理论在我之前的笔记里有详细分析，这里不啰嗦了）

要注意的区别

• 64位程序的基地址是Unsigned Long Long类型，用DWORD64表示就行

• 运行中的程序，IAT里记录的是VA而不是RVA

• 运行中的程序，INT里记录的是RVA而不是VA

源代码：

#include<stdio.h>
#include<Windows.h>

int main() {
	//获取当前exe的首地址
	HANDLE hMod = GetModuleHandle(NULL);//可以访问到当前线程在内存中的映像首地址，也就是基地址
	
	//获取当前exe的NT结构
	PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)hMod;
	PIMAGE_NT_HEADERS pNt = (PIMAGE_NT_HEADERS)((DWORD64)hMod + pDos->e_lfanew);
	
	//获取当前exe的数据目录表导入表信息
	PIMAGE_OPTIONAL_HEADER pOptional = &pNt->OptionalHeader;
	PIMAGE_DATA_DIRECTORY pDir = &pOptional->DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT];
	PIMAGE_IMPORT_DESCRIPTOR pImpDes = PIMAGE_IMPORT_DESCRIPTOR(pDir->VirtualAddress + (DWORD64)hMod);

	//遍历导入表
	for (; pImpDes->Name; pImpDes++) {
		DWORD64 dwDllName = pImpDes->Name + (DWORD64)hMod;
		printf("DLL名称：%s\r\n", dwDllName);
		
		PIMAGE_THUNK_DATA pThunk = (PIMAGE_THUNK_DATA)(pImpDes->FirstThunk + (DWORD64)hMod);//导入地址表
		PIMAGE_THUNK_DATA pINT = (PIMAGE_THUNK_DATA)(pImpDes->OriginalFirstThunk + (DWORD64)hMod);//INT
		if (pThunk->u1.Ordinal != 0) {
			for (; pThunk->u1.Function; pThunk++,pINT++) {
				PIMAGE_IMPORT_BY_NAME dwFunName = (PIMAGE_IMPORT_BY_NAME)(pINT->u1.AddressOfData + (DWORD64)hMod);
				DWORD64* dwFunAddr = &(pThunk->u1.Function);
				printf("函数名称:%-30s", dwFunName->Name);
				printf("函数地址:%p\r\n", *dwFunAddr);

			}
		}
		printf("\r\n------------------\r\n\r\n");

	}
	CloseHandle(hProcess);
	return 0;
}

效果演示

通过修改IAT进行Hook

这里还是以64位的记事本为例，目标是Hook WriteFile API，来让每次执行的时候弹个框（因为只是练习Hook，所以不用太复杂的功能）

这里的难点在于如何判断自己是否成功定位到了目标的IAT，关于修改IAT只需要改一下访问权限直接修改即可

这里对遍历IAT不熟悉的话，最好去写个64位程序来遍历自身的IAT来练习练习

其他想说的，都在代码里：

dllmain.dll

#include<windows.h>
#include<stdio.h>

SIZE_T g_pOrgFuncAddr = 0;
BOOL IAT_Hook(LPCSTR DLLname, PROC szOrgFuncAddr, PROC szMyFuncAddr);

//我们自己的Hook函数
BOOL WINAPI MyWriteFile(
    _In_ HANDLE hFile,
    _In_reads_bytes_opt_(nNumberOfBytesToWrite) LPCVOID lpBuffer,
    _In_ DWORD nNumberOfBytesToWrite,
    _Out_opt_ LPDWORD lpNumberOfBytesWritten,
    _Inout_opt_ LPOVERLAPPED lpOverlapped
) {
    MessageBox(NULL,L"警告",L"ERROR",MB_OK);
    return WriteFile(hFile,lpBuffer,nNumberOfBytesToWrite,lpNumberOfBytesWritten,lpOverlapped);
}

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        //保存原始API地址
        g_pOrgFuncAddr = (SIZE_T)GetProcAddress(GetModuleHandleA("kernel32.dll"),"WriteFile");//WriteFile在kernel32.dll里!!
        IAT_Hook("kernel32.dll",(PROC)g_pOrgFuncAddr,(PROC)MyWriteFile);
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        IAT_Hook("kernel32.dll", (PROC)MyWriteFile, (PROC)g_pOrgFuncAddr);
        break;
    }
    return TRUE;
}



BOOL IAT_Hook(LPCSTR DLLname, PROC szOrgFuncAddr, PROC szMyFuncAddr) {
    HMODULE hModule = GetModuleHandle(NULL);//NULL表示返回进程本身的首地址

    //定位到NT头
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)hModule;
    PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((SIZE_T)hModule + pDosHeader->e_lfanew);
    
    //定位到映像地址和导入地址表
    DWORD64 szImageBase = pNtHeader->OptionalHeader.ImageBase;
    DWORD64 szImpRva = (DWORD64)pNtHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress;
    
    //导入表VA
    PIMAGE_IMPORT_DESCRIPTOR pImpDes = (PIMAGE_IMPORT_DESCRIPTOR)(szImageBase + szImpRva);
    
    //查找欲HOOK的dll
    while (pImpDes->Name) {
        DWORD64 szNameAddr = szImageBase + pImpDes->Name;//获取dll名称VA

        char szName[MAXBYTE] = { 0 };
        strcpy_s(szName, (char*)szNameAddr);//提取字符串
        //MessageBoxA(0, szName, 0, 0);
	
        //判断dll是否是我们要Hook的dll
        if (strcmp(_strlwr(szName), DLLname) == 0) {
            //此时选中的就是指定的dll
            //遍历指定函数
            PIMAGE_THUNK_DATA pThunk = (PIMAGE_THUNK_DATA)(pImpDes->FirstThunk + (DWORD64)hModule);
            while (pThunk->u1.Function) {
                if (pThunk->u1.Function == (DWORD64)szOrgFuncAddr) {
                    //修改访问权限
                    DWORD dwOldProtect;
                    VirtualProtectEx(GetCurrentProcess(),(LPVOID)&pThunk->u1.Function, 8, PAGE_EXECUTE_READWRITE, &dwOldProtect);//&dwOldProtect这个参数必须有,不然就会失败!!
                    //修改IAT
                    pThunk->u1.Function = (DWORD64)szMyFuncAddr;
                    break;
                }
                pThunk++;
            }
            break;
        }
        pImpDes++;
    }
    if (pImpDes->Name == NULL){
        return FALSE;
    }
    return TRUE;
}

IATHook.cpp

这里就是简单的远线程dll注入：

#include<stdio.h>
#include<windows.h>
//这里写个dll注入,来加载Hook DLL


BOOL DllInject(LPCSTR WndClassName,LPCSTR szDllPath) {
	//获取进程句柄
	HWND hWnd = FindWindowA(WndClassName,NULL);
	DWORD dwPid = 0;
	GetWindowThreadProcessId(hWnd, &dwPid);
	HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS,FALSE,dwPid);



	//获取LoadLibraryA地址
	LPVOID pFunAddr = GetProcAddress(LoadLibraryA("kernel32.dll"), "LoadLibraryA");

	//向目标写入dll全路径
	SIZE_T sSize = strlen(szDllPath);
	LPVOID pDllPath = VirtualAllocEx(hProcess,NULL,sSize,MEM_COMMIT,PAGE_READWRITE);
	WriteProcessMemory(hProcess,pDllPath,szDllPath,sSize,NULL);
	
	//创建远程线程进行注入
	HANDLE hThread = CreateRemoteThread(hProcess,NULL,NULL,(LPTHREAD_START_ROUTINE)pFunAddr,pDllPath,0,NULL);
	WaitForSingleObject(hThread, INFINITE);
	CloseHandle(hThread);
	CloseHandle(hProcess);

	return TRUE;
}

int main() {
	DllInject("notepad", "C:\\Users\\helloworld\\source\\ReversecoreBook\\IATHook\\x64\\Debug\\IATHookdll.dll");

	return 0;
}

效果演示

总结

这个练习，我之前做过一次IAT Hook一个32位的记事本的，当时很快就做出来了，这次花了很长很长时间，再此做个自我反思：这次我存在的问题是：遇到问题的时候，没能冷静下来逐步分析反而在那不停的调试，下次要想办法提醒自己先静下来！

这次花时间长主要是因为注入的DLL，我不好确认问题出在哪里，对64位IAT不熟悉就是应该先动手练一次再去写DLL！

然后就是对使用的API，比如那个VirtualProtectEx不熟悉，最后一个参数不能写NULL！

还有一个问题就是，我要找WriteFile这个API，我从user32.dll里找了半天，其实是在kernel32.dll中，太不冷静了唉

冷静很重要，清醒的头脑更具有创造力