zwj 发表于 2022-2-12 13:55

一个R3下的APIHOOK 扫描工具(支持86-64)

就简单的介绍一下工具的逻辑。
1.InlineHook 扫描逻辑 ： dump 进程下的所有dll包括自身。然后 通过路径把 文件 也dump下来。
接下来 就是 无聊而又痛苦的工作！！！
1.1 拉伸文件到内存   IMAGE_SECTION_HEADER->VirtualAddress（为了避免 混论：这一步的内存 叫做 PeBuffer）
1.2 修复 PeBuffer 的 IAT表流程：通过 PEbuffer -> ImageThunkData->u1(名字OR序号)   最终定位修改PEbuffer ->FirstThunk->u1.Function
1.3 修复PeBuffer 的重定位表 直接使用API   LdrProcessRelocationBlock（新基址(也就是PeBuffer)，SizeOfBlock，NextOffset，Diff）；
                  例如 ：   Diff = GetModuleHandle(L"ntdll.dll") -PIMAGE_NT_HEADERS->OptionalHeader.ImageBase

2.IAT Hook扫描逻辑(这个最简单)dump->IAT   和 PeBuffer ->IAT（注意 这个你已经修复了如 1.2描述）对比，直接得出结果


如果 出现了 程序崩溃的情况，bug，请联系我。
备注：扫 微软dll,基本无敌 。扫其他dll，萎了。
   


云盘：
链接：https://pan.baidu.com/s/1dejQNwq42FS6Cnn94no4Eg
提取码：6c47

猪泥声鈤筷樂 发表于 2022-2-12 13:55

谢谢大佬分享

打一下卡 发表于 2022-2-12 13:55

谢谢@Thanks！

904717641 发表于 2022-2-12 14:04

多谢楼主分享

kuy 发表于 2022-2-12 14:04

谢谢大佬

renshencx 发表于 2022-2-12 14:06

先收藏了，万一用到呢

mlj2003318 发表于 2022-2-13 06:45

感谢分享

今心 发表于 2022-2-13 09:21

必须支持，谢谢分享
页: [1]
查看完整版本: 一个R3下的APIHOOK 扫描工具(支持86-64)