API拦截
修改PE文件导入段中的导入函数地址 为 新的函数地址
这涉及PE文件格式中的导入表和IAT，PE文件中每个隐式链接的DLL对应一个IMAGE_IMPORT_DESCRIPTOR描述符结构，而每个IMAGE_IMPORT_DESCRIPTOR结构中的FirstThunk指向一个IMAGE_THUNK_DATA结构数组的首地址。
在这个IAMGE_THUNK_DATA数组中，每一项对应一个该DLL模块的导入函数(对使用该DLL模块的PE文件来说是 导入)。
结构大致如下
拦截某DLL模块中的API时，先在PE文件的导入段中查找该DLL，然后再查找该API的地址，将其地址替换为新的地址。
即先遍历IMAGE_IMPORT_DESCRIPTOR数组，找到其Name和给定DLL名字相同的模块，然后再遍历其FirstThunk指向的IAMGE_THUNK_DATA数组，找到待拦截的API，然后将新地址替换其地址。
本例中，LanjieAPI.exe中使用了DllForLanjie.dll模块，该模块导出了一个计算两个数的和的函数Add(int a, int b)，本文实例将该Add函数拦截，替换为show函数来显示信息。
上代码
/************************************************************************/
/* PE文件中，每个隐式链接的DLL都对应一个IMAGE_IMPORT_DESCRIPTOR结构(winnt.h)
typedef struct _IMAGE_IMPORT_DESCRIPTOR {
union {
DWORD Characteristics; // 0 for terminating null import descriptor
DWORD OriginalFirstThunk; //指向IMAGE_THUNK_DATA结构数组的指针，RVA to original unbound IAT (PIMAGE_THUNK_DATA)
};
DWORD TimeDateStamp; // 0 if not bound,
// -1 if bound, and real date\time stamp
// in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)
// O.W. date/time stamp of DLL bound to (Old BIND)
DWORD ForwarderChain; // -1 if no forwarders
DWORD Name; //该模块的名字
DWORD FirstThunk; //指向IMAGE_THUNK_DATA结构数组的指针，RVA to IAT (if bound this IAT has actual addresses)
} IMAGE_IMPORT_DESCRIPTOR;
PE文件的某个导入模块中的 每个函数 对应一个IMAGE_THUNK_DATA结构
typedef struct _IMAGE_THUNK_DATA32 {
union {
DWORD ForwarderString; // PBYTE
DWORD Function; // PDWORD
DWORD Ordinal;
DWORD AddressOfData; //指向IMAGE_IMPORT_BY_NAME结构的指针， PIMAGE_IMPORT_BY_NAME
} u1;
} IMAGE_THUNK_DATA32;
typedef struct _IMAGE_IMPORT_BY_NAME {
WORD Hint;
BYTE Name[1];
} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;
其中OriginalFirstThunk和FirstThunk均各自一个IMAGE_THUNK_DATA结构类型数组
所不同的是：OriginalFirstThunk指向的IAMGE_THUNK_DATA结构数组是单独的一项，
并且不可更改，成为INT，有时也成为提示名表。
FirstThunk所指向的是IMAGE_THUNK_DATA结构类型数组是又PE装载器重写的，PE装载器
首先搜索OriginalFirstThunk，如果找到则加载程序迭代搜索数组中的每个指针，找到
每个IMAGE_IMPORT_BY_NAME结构所指向的输入函数的地址，然后加载器用函数真正入口
地址来替代由FirstThunk数组中的每个函数入口，因此他成为【输入地址表IAT】。
/************************************************************************/
DLL导出函数
//DllForLanjie.dll导出函数
extern "C" __declspec(dllexport) int __stdcall Add(int a, int b)
{
return a + b;
}
拦截代码
BOOL ReplaceIATEntryInOneMod(
PCSTR pszCalleeModName, //被调模块，要拦截的API所在的模块
PROC pfnCurrent, //被拦截的API，其所在模块中的地址
PROC pfnNew, //用来替换的新函数的地址
HMODULE hmodCaller //调用新函数的模块
)
{
ULONG ulSize = 0UL;
PIMAGE_IMPORT_DESCRIPTOR pImportDesc = NULL; //导入描述符
__try
{
pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)(ImageDirectoryEntryToData(hmodCaller, TRUE, IMAGE_DIRECTORY_ENTRY_IMPORT, &ulSize));
}
//__except(InvalidReadExceptionFilter(GetExceptionInformation))
__except(1)
{
cerr<<"Exception !"<<endl;
}
if(NULL == pImportDesc) return FALSE;
//结束条件为 当前该IMAGE_IMPORT_DESCRIPTOR结构(Name字段)指针为NULL
for (; pImportDesc->Name; pImportDesc++)
{
//查找导入段中每个模块的地址，转为PBYTE计算是为了指针+1时是加了一个字节
PSTR pszModName = (PSTR)((PBYTE)hmodCaller + pImportDesc->Name);
//如果找到同名模块
if(lstrcmpiA(pszModName, pszCalleeModName) == 0)
{
//获取调用程序中的该pImageDesc模块的IMAGE_THUNK_DATA数组的首地址(在PE文件中)
PIMAGE_THUNK_DATA pThunk = (PIMAGE_THUNK_DATA)((PBYTE)hmodCaller + pImportDesc->FirstThunk);
//在模块中查找要拦截的【函数】
for (; pThunk->u1.Function; pThunk++)
{
PROC* ppfn = (PROC*)(&pThunk->u1.Function);
//如果找到了需要的【函数】
BOOL bFound = (*ppfn == pfnCurrent);
if (bFound)
{
//如果往被拦截函数的地址写新函数的地址 【失败】
if (! WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, sizeof(pfnNew), NULL)
&& (ERROR_NOACCESS == GetLastError()) )
{
DWORD dwOldProtect = 0;
//则改变页面的保护属性为 【写时复制】
if(VirtualProtect(ppfn, sizeof(pfnNew), PAGE_WRITECOPY, &dwOldProtect))
{
BOOL b1 = WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, sizeof(pfnNew), NULL);
BOOL b2 = VirtualProtect(ppfn, sizeof(pfnNew), dwOldProtect, &dwOldProtect);
return b1 && b2;
} //if
else
{
return FALSE;
}
} //if
//如果执行到这里了，则肯定是成功的
return TRUE;
} //if
} //for
} //if
} //for
return FALSE;
}
用来替换的新函数， 在当前exe中定义
int __stdcall show()
{
cout<<endl<<"如果看到此行信息 说明 你的函数 被 当前函数 拦截了 呵呵"<<endl;
return 0;
}
示意怎么去拦截
头文件 和 库
#include "stdafx.h" #include <iostream> #include <Windows.h> #include <Dbghelp.h> #include <Psapi.h> using namespace std; #pragma comment(lib, "psapi.lib") #pragma comment(lib, "Dbghelp.lib") #pragma comment(lib, "DllForLanjie.lib") extern "C" __declspec(dllimport) int __stdcall Add(int a, int b);
int _tmain(int argc, _TCHAR* argv[])
{ //本例中获取ExitProess地址为NULL，用depends查看该exe的使用kernel32.dll的导入函数中没有ExitProcess, //可能是因为这个原因所以地址为NULL
//PROC pfnCurrent = (PROC)GetProcAddress(GetModuleHandle(_T("kernel32.dll")), "ExitProcess");
//PROC pfnCurrent = (PROC)GetProcAddress(GetModuleHandle(_T("kernel32.dll")), "Sleep");
cout<<"拦截之前 调用Add函数 计算Add(10, 20)"<<endl;
cout<<"Add(10, 20) = "<<Add(10, 20)<<endl<<endl;
PROC pfnCurrent = (PROC)GetProcAddress(GetModuleHandle(_T("DllForLanjie.dll")), "[email protected]");
if(NULL == pfnCurrent) return -1;
TCHAR chImageName[MAX_PATH + 1] = {0};
ZeroMemory(chImageName, sizeof(chImageName));
DWORD dwRet = GetProcessImageFileName(GetCurrentProcess(), chImageName, _countof(chImageName));
if(0 == dwRet)
{
cerr<<"some error"<<endl;
return -2;
}
cout<<endl<<"开始 将当前exe的导入段中的模块DllForLanjie.dll中的函数Add的地址替换为show函数"<<endl;
BOOL bRet = ReplaceIATEntryInOneMod("DllForLanjie.dll", pfnCurrent, show, GetModuleHandle(NULL));
if(FALSE == bRet)
{
cout<<"替换失败 退出!"<<endl;
return -3;
}
cout<<"替换成功 继续！"<<endl;
cout<<endl<<endl<<"下面调用三次Add函数 计算100 和 200 的和"<<endl;
for (int i = 0; i < 3; ++ i)
{
Add(100, 200);
}
cout<<endl<<endl;
return 0;
}
执行结果
执行过程中，VS2005一直报运行时异常
每次点击【忽略】才能继续，为何？
该实例已经成功的拦截了DllForLanjie.dll中的API Add函数，替换为了exe中的show函数。
【windows核心编程】一个API拦截的例子
时间： 2024-11-05 19:30:24