浅淡 “对 HOOK PE 的学习体会”

浅淡 “对 HOOK PE 的学习体会”

 

我们都知道，对于PE 文件的结构中，有一个叫做导出表的东西，这个表中存放着这个程序运行所需要的函数。这些函数都存放在一个结构中。如果，我们能够替换这个结构中的某些地址，那么，我们就能够在程序执行之前，拿到控制权。

下边看一下这个结构的示意图：

从这个图中，我们可以清楚的看到，导出表函数名和函数地址组成，它们可以通过导出表获得：

pModuleAddress = PEGetModuleBaseAddress("ntkrnlpa.exe");

 

pExportDir = (PIMAGE_EXPORT_DIRECTORY)(pModuleBase + pSecHead->VirtualAddress);

 

dwAddrName = (PDWORD)(pModuleBase + pExportDir->AddressOfNames);

 

dwAddrFun=(PDWORD)(pModuleBase+pExportDir->AddressOfFunctions;

 

dwAddrName ：也就是指向那个表的第一个函数的名字，从图中可以知道，它们是一种链式结构，那么，我们就可以通过循环来遍历这个链表了。

 

dwAddrFun : 这是函数的偏移地址，我们可以通过基址 + 偏移的方式快速的定位函数的地址。。。获取方法和上边是一样的。

 

HOOK 的方法是替换函数的偏移地址，利用这个特性，我们可以快速得到原来的函数的地址，然后换成我们函数相对基址的偏移地址，最后，在我们的函数最后调用原来的函数，因为我们在 HOOK 的时候已经记录了它的地址，还是和原来一样，通过指向这个函数的指针完成。。。

在这里值得注意的是，ntkrnlpa.exe 这个是对于多核 CPU 单核的 ntoskrl.exe …不然的话，可以获取不到我们定位的函数。。。

下边，我们开始了替换的操作：

 

打印出了函数对应的地址注意最后一个，这是我们想要的，现记住这个地址：

函数名字 ------ZwCreateFile

函数地址-------0x804ff07c

 

、还有下边我们自定义的函数地址：

MyHookFunc------------------0xf89e37f0

 

看下边，我们替换完成后的情况。。。

 

发现什么了吗？   看 ZwCreateFile ------à 0xf89e37f0

 

和我们上边记录的我们定义的函数是一样，说明了我们 HOOK 住了这个函数。。。

 

具体的HOOK 过程：

__asm

   {

   mov eax, MyHookFunc;

   sub eax, pModuleBase;

   mov uAddress, eax;

   }

上边计算出我们定义的函数相对于基址的偏移量，然后填充这个函数的偏移。。。

*dwAddrFun = uAddress;