Api Hook 例程

#include "windows.h"
DWORD* lpAddr;
PROC OldProc;
HMODULE MyTerminateProcess(HANDLE hProcess,UINT
uExitCode)
{
   
MessageBox(NULL,"硬不起来了把","API HOOK",0);
    return 0;
}

int ApiHook(char *DllName,//DLL文件名
     
      PROC
OldFunAddr,//要HOOK的函数地址
     
      PROC
NewFunAddr//我们够造的函数地址
     
     )
{
//得到函数进程模块基地址
    HMODULE lpBase =
GetModuleHandle(NULL);
    IMAGE_DOS_HEADER
*dosHeader;
    IMAGE_NT_HEADERS
*ntHeader;
    IMAGE_IMPORT_BY_NAME
*ImportName;
//定位到DOS头
   
dosHeader=(IMAGE_DOS_HEADER*)lpBase;
//定位到PE头
   
ntHeader=(IMAGE_NT_HEADERS32*)((BYTE*)lpBase+dosHeader->e_lfanew);
//定位到导入表
    IMAGE_IMPORT_DESCRIPTOR
*pImportDesc=(IMAGE_IMPORT_DESCRIPTOR*)((BYTE*)lpBase+ntHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);
//循环遍历IMAGE_IMPORT_DESCRIPTOR机构数组
   
while(pImportDesc->FirstThunk)
    {
//得到DLL文件名
     
  char* pszDllName = (char*)((BYTE*)lpBase +
pImportDesc->Name);
//比较得到的DLL文件名是否和要HOOK函数所在的DLL相同
//定位到FirstThunk参数指向的IMAGE_THUNK_DATA，此时这个结构已经是函数入口点地址了
     
  IMAGE_THUNK_DATA* pThunk =
(IMAGE_THUNK_DATA*)
     
     
     
     
     
   
 ((BYTE*)lpBase +
pImportDesc->FirstThunk);
//遍历这部分IAT表
     
 
MessageBox(NULL,pszDllName,"Output",MB_OK);
     
  while(pThunk->u1.Function)
     
  {
     
      lpAddr =
(DWORD*)&(pThunk->u1.Function);
//比较函数地址是否相同
     
      if(*lpAddr
== (DWORD)OldFunAddr)
     
      {
     
     
    DWORD dwOldProtect;
//修改内存包含属性
     
     
    VirtualProtect(lpAddr,
sizeof(DWORD), PAGE_READWRITE,
&dwOldProtect);
//API函数的入口点地址改成我们构造的函数的地址
     
     
   
WriteProcessMemory(GetCurrentProcess(),lpAddr,
&NewFunAddr, sizeof(DWORD), NULL);
     
     
   
MessageBox(NULL,"FindIt","",MB_OK);
     
      }
     
     
pThunk++;
     
  }
     
  pImportDesc++;
    }
    return 0;
}

extern "C" {

    BOOL APIENTRY DllMain(
HANDLE hModule,
     
     
     
     
   DWORD
ul_reason_for_call,
     
     
     
     
   LPVOID lpReserved
     
     
     
     
 )
    {
     
  switch (ul_reason_for_call)
     
  {
     
  case DLL_PROCESS_ATTACH:
     
  case DLL_THREAD_ATTACH:
//得到TerminateProcess函数地址
     
      OldProc =
(PROC)GetProcAddress(GetModuleHandle("Kernel32"),"TerminateProcess");
     
     
if(OldProc==NULL)
     
      {
     
     
   
MessageBox(NULL,"FAILED","",MB_OK);
     
     
    return 0;
     
      }
//定位，修改IAT表
     
     
ApiHook((char*)"kernel32.dll",OldProc,(PROC)MyTerminateProcess);
     
     
//MessageBox(NULL,"Success","Ok",MB_OK);
     
     
break;
     
  case DLL_THREAD_DETACH:
     
  case DLL_PROCESS_DETACH:
//恢复IAT表中API函数的入口点地址
     
     
WriteProcessMemory(GetCurrentProcess(),lpAddr,
&OldProc, sizeof(DWORD), NULL);
     
     
break;
     
  }
     
  return TRUE;
    }
}