2009年等考C++Hook技术使用SetHook替换IAT表

　　更多信息请访问：考试吧计算机类论坛

　　基本概念

　　钩子(Hook)，是Windows消息处理机制的一个平台,应用程序可以在上面设置子程以监视指定窗口的某种消息，而且所监视的窗口可以是其他进程所创建的。当消息到达后，在目标窗口处理函数之前处理它。钩子机制允许应用程序截获处理window消息或特定事件。

　　钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以加工处理(改变)该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。

　　常见的Hook应用很多，如现在的木马盗号程序、网络防火墙、以及金山词霸等都使用了这种技术。

　　下面，我主要谈到我在解决最近的一个项目中用到的几种Hook技术。

　　Hook手段1―――――替换IAT表

　　要了解IAT表，首先应该了解Windows的PE文件格式，这里不再赘述。简单的说，就是当一个进程加载另一个模块之，建立起来的模块内的函数名与它在模块内相对地址的映射关系。如下图: 函数A

　　0xb333

　　函数B

　　0x1234

　　Dll temp.dll

　　A

　　getProcAddress(B)

　　IAT表

　　主 进程

　　主进程加载temp.dll，就把在自己的IAT表中，映射A，加载的模块名temp.dll，以及在temp.dll的代码偏移量0xb333，我们想实现用函数B来替换函数A，则，只需要把IAT表中的0xb333替换为getProcAddrss(B), 即为getModuleAddress(void)+0x1234。