科普一下如何对抗IAT Hook

bb88

绕过IAT Hook的方法。
处理一下可以恢复InlineHook。

1. 
   
2. 
   
3. //获取函数的原始地址，以此绕过IAT Hook
   
4. //原理：读取文件，从导出表里面弄偏移，然后加上加载基址即可。
   
5. 
   
6. //参考文献：《加密与解密 第三版》，也就是我学习PE结构的书。
   
7. 
   
8. #include <windows.h>
   
9. #include <stdio.h>
   
10. #include <imagehlp.h>
    
11. #pragma comment(lib,"imagehlp")
    
12. 
    
13. typedef int (WINAPI *pfnMessageBoxA)(
    
14.                   HWND hWnd,
    
15.                   LPCSTR lpText,
    
16.                   LPCSTR lpCaption,
    
17.                   UINT uType
    
18.                   );//函数原型
    
19. 
    
20. pfnMessageBoxA OrigMessageBoxA = NULL;//保存原始函数地址
    
21. LPVOID RvaToPtr(PIMAGE_NT_HEADERS pNtH,LPVOID ImageBase,DWORD dwRVA);//转化成文件偏移
    
22. DWORD GetOrigMessageBoxAAddress();//获取函数原始地址
    
23. 
    
24. int main(int argc, char* argv[])
    
25. {
    
26.     printf("AntiIATHook Demo\nBy XiaoWei[0GiNr]\n");
    
27.     printf("http://www.0GiNr.com\n");
    
28.     printf("http://0Gsns.com\n");
    
29.     printf("http://hi.baidu.com/zoo%%5F\n\n");
    
30.     OrigMessageBoxA = (pfnMessageBoxA)GetOrigMessageBoxAAddress();
    
31.     printf("OrigMessageBoxA = 0x%08lX\n",OrigMessageBoxA);
    
32.     OrigMessageBoxA(0,"0GiNr","0GiNr",0);
    
33.     getchar();
    
34.     return 0;
    
35. }
    
36. 
    
37. LPVOID RvaToPtr(PIMAGE_NT_HEADERS pNtH,LPVOID ImageBase,DWORD dwRVA)
    
38. {   
    
39.     return ImageRvaToVa(pNtH,ImageBase,dwRVA,NULL);
    
40. }
    
41. 
    
42. DWORD GetOrigMessageBoxAAddress()
    
43. {
    
44.     LPVOID lpBass = NULL;
    
45.     HANDLE hMapFile = NULL;
    
46.     HANDLE hFile = NULL;
    
47.     PIMAGE_DOS_HEADER    pDH = NULL;
    
48.     PIMAGE_NT_HEADERS    pNH = NULL;
    
49.     PIMAGE_OPTIONAL_HEADER    pOH = NULL;
    
50.     PIMAGE_EXPORT_DIRECTORY pED = NULL;
    
51.     DWORD        dwDataStartRVA    = 0;
    
52.     PDWORD      pdwRvas, pdwNames;
    
53.     PWORD       pwOrds;
    
54.     UINT        iNumOfName;
    
55.     char        *szFuncName;
    
56.     int            i,j;
    
57.     HMODULE        hUser32;
    
58.     DWORD        dwRetAddr;
    
59.     //////////////////////////////////////////////////////////////////////////
    
60.     ::LoadLibraryA("user32.dll");//load一下。
    
61.     hUser32 = GetModuleHandleA("user32.dll");
    
62.     if (!hUser32) {
    
63.         printf("Get User32 Base Error..\n");
    
64.         goto __exit;
    
65.     }
    
66.     hFile = ::CreateFileA(
    
67.         "c:\\windows\\system32\\user32.dll",
    
68.         GENERIC_READ,
    
69.         FILE_SHARE_READ,
    
70.         NULL,
    
71.         OPEN_EXISTING,
    
72.         FILE_ATTRIBUTE_NORMAL,
    
73.         NULL);
    
74.     if ( hFile == INVALID_HANDLE_VALUE ) {
    
75.         printf("open file error..\n");
    
76.         goto __exit;
    
77.     }
    
78.     hMapFile = ::CreateFileMappingA(
    
79.         hFile,
    
80.         NULL,
    
81.         PAGE_READONLY,
    
82.         NULL,
    
83.         NULL,
    
84.         NULL);
    
85.     if ( hMapFile == INVALID_HANDLE_VALUE ) {
    
86.         printf("CreateFileMappingA error..\n");
    
87.         goto __exit;
    
88.     }
    
89.     lpBass = MapViewOfFile(
    
90.         hMapFile,
    
91.         FILE_MAP_READ,
    
92.         0,
    
93.         0,
    
94.         0);
    
95.     if ( !lpBass ) {
    
96.         printf("CreateFileMappingA error..\n");
    
97.         goto __exit;
    
98.     }
    
99.     pDH = (PIMAGE_DOS_HEADER)lpBass;
    
100.     pNH = (PIMAGE_NT_HEADERS)((DWORD)pDH + pDH->e_lfanew);
     
101.     pOH = &pNH->OptionalHeader;
     
102.     dwDataStartRVA = pOH->DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress;
     
103.     pED = (PIMAGE_EXPORT_DIRECTORY)RvaToPtr(pNH,lpBass,dwDataStartRVA);
     
104. 
     
105.     pwOrds    = (PWORD)RvaToPtr(pNH, lpBass,pED->AddressOfNameOrdinals);
     
106.     pdwRvas   = (PDWORD)RvaToPtr(pNH, lpBass,pED->AddressOfFunctions);
     
107.     pdwNames  = (PDWORD)RvaToPtr(pNH, lpBass,pED->AddressOfNames);
     
108.     iNumOfName = pED->NumberOfNames;
     
109. 
     
110.     for (i = 0;i<pED->NumberOfFunctions;i++) {
     
111.         if (*pdwRvas) {
     
112.             for (j = 0;j<iNumOfName;j++) {
     
113.                 if ( i == pwOrds[j] ) {
     
114.                     szFuncName = (char*)RvaToPtr(pNH,lpBass,pdwNames[j]);
     
115.                     break;
     
116.                 }
     
117.             }
     
118.             if ( !strcmp(szFuncName,"MessageBoxA") ) {
     
119.                 printf("*pdwRvas : 0x%08lX..\n",*pdwRvas);
     
120.                 dwRetAddr = (DWORD)hUser32 + *pdwRvas;//文件偏移加上加载地址，得到原始函数地址。
     
121.                 goto __exit;
     
122.             }
     
123.             pdwRvas++;
     
124.         }
     
125.     }
     
126. __exit:
     
127.     if (lpBass)
     
128.         ::UnmapViewOfFile(lpBass);
     
129.     ::CloseHandle(hFile);
     
130.     ::CloseHandle(hMapFile);
     
131.     return dwRetAddr;
     
132. }
     

复制代码

cooby

聪明的女人对付男人，而笨女人对付女人.

qq412158094

支持楼主，支持看流星社区，以后我会经常来！

qq412158094

支持楼主，支持看流星社区，以后我会经常来！