【windows核心编程】一个API拦截的例子

API拦截

修改PE文件导入段中的导入函数地址为新的函数地址

这涉及PE文件格式中的导入表和IAT，PE文件中每个隐式链接的DLL对应一个IMAGE_IMPORT_DESCRIPTOR描述符结构，而每个IMAGE_IMPORT_DESCRIPTOR结构中的FirstThunk指向一个IMAGE_THUNK_DATA结构数组的首地址。

在这个IAMGE_THUNK_DATA数组中，每一项对应一个该DLL模块的导入函数(对使用该DLL模块的PE文件来说是导入)。

结构大致如下

【windows核心编程】一个API拦截的例子

拦截某DLL模块中的API时，先在PE文件的导入段中查找该DLL，然后再查找该API的地址，将其地址替换为新的地址。

即先遍历IMAGE_IMPORT_DESCRIPTOR数组，找到其Name和给定DLL名字相同的模块，然后再遍历其FirstThunk指向的IAMGE_THUNK_DATA数组，找到待拦截的API，然后将新地址替换其地址。

本例中，LanjieAPI.exe中使用了DllForLanjie.dll模块，该模块导出了一个计算两个数的和的函数Add(int a, int b)，本文实例将该Add函数拦截，替换为show函数来显示信息。

上代码

/************************************************************************/

/* PE文件中，每个隐式链接的DLL都对应一个IMAGE_IMPORT_DESCRIPTOR结构(winnt.h)

typedef struct _IMAGE_IMPORT_DESCRIPTOR {

union {

DWORD   Characteristics;            // 0 for terminating null import descriptor

DWORD   OriginalFirstThunk;         //指向IMAGE_THUNK_DATA结构数组的指针，RVA to original unbound IAT (PIMAGE_THUNK_DATA)

};

DWORD   TimeDateStamp;                  // 0 if not bound,

// -1 if bound, and real date\time stamp

//     in IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT (new BIND)

// O.W. date/time stamp of DLL bound to (Old BIND)

DWORD   ForwarderChain;                 // -1 if no forwarders

DWORD   Name;                           //该模块的名字

DWORD   FirstThunk;                     //指向IMAGE_THUNK_DATA结构数组的指针，RVA to IAT (if bound this IAT has actual addresses)

} IMAGE_IMPORT_DESCRIPTOR;

PE文件的某个导入模块中的 每个函数 对应一个IMAGE_THUNK_DATA结构

typedef struct _IMAGE_THUNK_DATA32 {

union {

DWORD ForwarderString;      // PBYTE

DWORD Function;             // PDWORD

DWORD Ordinal;

DWORD AddressOfData;        //指向IMAGE_IMPORT_BY_NAME结构的指针， PIMAGE_IMPORT_BY_NAME

} u1;

} IMAGE_THUNK_DATA32;

typedef struct _IMAGE_IMPORT_BY_NAME {

WORD    Hint;

BYTE    Name[1];

} IMAGE_IMPORT_BY_NAME, *PIMAGE_IMPORT_BY_NAME;

其中OriginalFirstThunk和FirstThunk均各自一个IMAGE_THUNK_DATA结构类型数组

所不同的是：OriginalFirstThunk指向的IAMGE_THUNK_DATA结构数组是单独的一项，

并且不可更改，成为INT，有时也成为提示名表。

FirstThunk所指向的是IMAGE_THUNK_DATA结构类型数组是又PE装载器重写的，PE装载器

首先搜索OriginalFirstThunk，如果找到则加载程序迭代搜索数组中的每个指针，找到

每个IMAGE_IMPORT_BY_NAME结构所指向的输入函数的地址，然后加载器用函数真正入口

地址来替代由FirstThunk数组中的每个函数入口，因此他成为【输入地址表IAT】。

/************************************************************************/

DLL导出函数

//DllForLanjie.dll导出函数

extern "C" __declspec(dllexport) int __stdcall Add(int a, int b)

{

    return a + b;

}

拦截代码

BOOL ReplaceIATEntryInOneMod(

         PCSTR pszCalleeModName,  //被调模块，要拦截的API所在的模块

         PROC pfnCurrent,          //被拦截的API，其所在模块中的地址

         PROC pfnNew,              //用来替换的新函数的地址

         HMODULE hmodCaller        //调用新函数的模块

         )

{

    ULONG ulSize = 0UL;

    PIMAGE_IMPORT_DESCRIPTOR pImportDesc = NULL;  //导入描述符

    __try

    {

        pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)(ImageDirectoryEntryToData(hmodCaller, TRUE, IMAGE_DIRECTORY_ENTRY_IMPORT, &ulSize));

    }

    //__except(InvalidReadExceptionFilter(GetExceptionInformation))

    __except()

    {

        cerr<<"Exception !"<<endl;

    }

    if(NULL == pImportDesc) return FALSE;

    //结束条件为 当前该IMAGE_IMPORT_DESCRIPTOR结构(Name字段)指针为NULL

    for (; pImportDesc->Name; pImportDesc++)

    {

        //查找导入段中每个模块的地址，转为PBYTE计算是为了指针+1时是加了一个字节

        PSTR pszModName = (PSTR)((PBYTE)hmodCaller + pImportDesc->Name);

        //如果找到同名模块

        if(lstrcmpiA(pszModName, pszCalleeModName) == )

        {

            //获取调用程序中的该pImageDesc模块的IMAGE_THUNK_DATA数组的首地址(在PE文件中)

            PIMAGE_THUNK_DATA pThunk = (PIMAGE_THUNK_DATA)((PBYTE)hmodCaller + pImportDesc->FirstThunk);

            //在模块中查找要拦截的【函数】

            for (; pThunk->u1.Function; pThunk++)

            {

                PROC* ppfn = (PROC*)(&pThunk->u1.Function);

                //如果找到了需要的【函数】

                BOOL bFound = (*ppfn == pfnCurrent);

                if (bFound)

                {

                    //如果往被拦截函数的地址写新函数的地址 【失败】

                    if (! WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, sizeof(pfnNew), NULL)

                        && (ERROR_NOACCESS == GetLastError())   )

                    {

                        DWORD dwOldProtect = ;

                        //则改变页面的保护属性为 【写时复制】

                        if(VirtualProtect(ppfn, sizeof(pfnNew), PAGE_WRITECOPY, &dwOldProtect))

                        {

                            BOOL b1 = WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, sizeof(pfnNew), NULL);

                            BOOL b2 = VirtualProtect(ppfn, sizeof(pfnNew), dwOldProtect, &dwOldProtect);

                            return b1 && b2;

                        } //if

                        else

                        {

                            return FALSE;

                        }

                    } //if

                    //如果执行到这里了，则肯定是成功的

                    return TRUE;

                } //if

            } //for

        } //if

    } //for

    return FALSE;

}

用来替换的新函数，在当前exe中定义

int __stdcall show()

{

    cout<<endl<<"如果看到此行信息 说明 你的函数 被 当前函数 拦截了  呵呵"<<endl;

    return ;

}

示意怎么去拦截

头文件和库

#include "stdafx.h"

#include <iostream>

#include <Windows.h>

#include <Dbghelp.h>

#include <Psapi.h>

using namespace std;

#pragma comment(lib, "psapi.lib")

#pragma comment(lib, "Dbghelp.lib")

#pragma comment(lib, "DllForLanjie.lib")

extern "C" __declspec(dllimport) int __stdcall Add(int a, int b);

int _tmain(int argc, _TCHAR* argv[])

{
　　 //本例中获取ExitProess地址为NULL，用depends查看该exe的使用kernel32.dll的导入函数中没有ExitProcess,
    //可能是因为这个原因所以地址为NULL

    //PROC pfnCurrent = (PROC)GetProcAddress(GetModuleHandle(_T("kernel32.dll")), "ExitProcess");

    //PROC pfnCurrent = (PROC)GetProcAddress(GetModuleHandle(_T("kernel32.dll")), "Sleep");

    cout<<"拦截之前 调用Add函数 计算Add(10, 20)"<<endl;

    cout<<"Add(10, 20) = "<<Add(, )<<endl<<endl;

    PROC pfnCurrent = (PROC)GetProcAddress(GetModuleHandle(_T("DllForLanjie.dll")), "_Add@8");

    if(NULL == pfnCurrent) return -;

    TCHAR chImageName[MAX_PATH + ] = {};

    ZeroMemory(chImageName, sizeof(chImageName));

    DWORD dwRet = GetProcessImageFileName(GetCurrentProcess(), chImageName, _countof(chImageName));

    if( == dwRet)

    {

        cerr<<"some error"<<endl;

        return -;

    }

    cout<<endl<<"开始 将当前exe的导入段中的模块DllForLanjie.dll中的函数Add的地址替换为show函数"<<endl;

    BOOL bRet = ReplaceIATEntryInOneMod("DllForLanjie.dll", pfnCurrent, show, GetModuleHandle(NULL));

    if(FALSE == bRet)

    {

        cout<<"替换失败 退出!"<<endl;

        return -;

    }

    cout<<"替换成功 继续！"<<endl;

    cout<<endl<<endl<<"下面调用三次Add函数 计算100 和 200 的和"<<endl;

    for (int i = ; i < ; ++ i)

    {

        Add(, );

    }

    cout<<endl<<endl;

    return ;

}

执行结果

执行过程中，VS2005一直报运行时异常

【windows核心编程】一个API拦截的例子

每次点击【忽略】才能继续，为何？

该实例已经成功的拦截了DllForLanjie.dll中的API Add函数，替换为了exe中的show函数。

秒客网

【windows核心编程】一个API拦截的例子

相关文章