IAT

ring3下的IAT HOOK

标 题: 【原创】ring3下的IAT HOOK作 者: hostzhen时 间: 2013-03-28,11:30:53链 接: http://bbs.pediy.com/showthread.php
·2015-10-27 14:55

vc++HOOK API黑客外挂编程必知必会

windows.h> // 定义API挂接项结构typedef struct _HOOK_ITEM { DWORD dwAddr ;   // IAT
·2015-10-21 11:21

使用IAT表注入模块到进程中 样例

首先先从IAT表注入开始吧！    如果了解PE文件的格式的话，原理很简单。
xiao_0429·2015-10-12 21:00

IAT hook（PE导入表hook）

IAT即ImportAddressTable是PE文件的输入地址表，一个程序在运行时会加载很多模块，调用很多API函数，但这些函数不一定要程序本身实现。
abcdefghig·2015-09-24 19:00

inline hook

原理不必讲，下面一张图可以帮助理解这项技术：inlinehook是给代码打补丁，这和hook调用表（IAT/IDT/SSDT等）技术有着本质区别。
abcdefghig·2015-09-24 19:00

逆向工程核心原理学习笔记1-通过IAT手工定位notepad.exe中的导入函数

本文将通过PEview0.99这款PE查看器来复习与IAT相关的知识，复习方式就是手工查找xpsp3下notepad.exe文件中第一个导入DLL中的第一个导入函数。
HappyOrange2014·2015-08-24 10:00

IAT和JMP方式的HOOK

在Windows操作系统里面，API是指由操作系统提供功能的、由应用程序调用的函数。这些函数在Windows操作系统里面有上千个之多，分布于不同的DLL文件里面或者EXE文件里面。应用程序通过调用这些函数来获得一些功能的支持。APIHOOK技术是一种用于改变API执行结果的技术，例如翻译软件可以通过HookTextOut函数或其他相关的API函数，在执行系统真正的API之前，截获TextOut的参
Ansbic·2015-08-23 21:54

C6678中的PCIE相关总结(1)

Inbound AddressTranslation（IAT）:和BAR(Baseaddressregisters)配合使用，把BAR过滤后的PCIE总线地址转换成设备内部地址。
virlhs·2015-07-24 17:00

手动脱Mole Box壳实战总结

前面的博客手动脱Mole Box V2.6.5壳实战中已经给出了一种比较笨的脱壳的方法，在进行脱壳程序的IAT表的修复的时，采用的是手动记录系统API的地址然后手动的去恢复被加密的系统API的方法，很挫
QQ1084283172·2015-07-17 10:00

手动脱WinUpack 壳实战

不得不重复那句话，没见过这种壳，该壳是压缩壳的一种，相对于压缩壳，加密壳的难度要大一些，特别是IAT表的修复问题上。 首先分别使用DIE和Exeinfo PE对该加壳程序进行查壳的处理。
QQ1084283172·2015-07-15 09:00

讯飞语音的一些参数设置

[_iflyRecognizerViewsetParameter:@"iat"forKey:[IFlySpeechConstantIFLY_DOMAIN]];[_iflyRecognizerViewsetParameter
jackscm·2015-06-08 09:30

讯飞语音的一些参数设置

[_iflyRecognizerViewsetParameter:@"iat"forKey:[IFlySpeechConstantIFLY_DOMAIN]];  [_iflyRecognizerViewsetParameter
jackscm·2015-06-08 09:30

R3下远程线程注入/IAT Hook

   先上程序，然后慢慢解释//remoteIATHook.cpp:Definestheentrypointfortheconsoleapplication. // #include"stdafx.h" #include #include #include #include #pragmacomment(lib,"user32.lib") #defineOPENPROCESSPROITYPRO
lixiangminghate·2015-05-27 15:00

【windows核心编程】一个API拦截的例子

  API拦截修改PE文件导入段中的导入函数地址为新的函数地址这涉及PE文件格式中的导入表和IAT，PE文件中每个隐式链接的DLL对应一个IMAGE_IMPORT_DESCRIPTOR描述符结构，而每个
cuihao·2014-12-01 15:00

PE文件结构（四） 输出表

输出表提供了文件中函数的名字跟这些函数的地址，PE装载器通过输出表来修改IAT。IMAGE_OPTIONAL_HEADER中的DataDirectory[0]提供了输出表的RVA。
billvsme·2014-10-06 00:00

hook dx然后绘制出fps

这里是修改iat，另外还可以用类似deours的方
hewei0241·2014-08-05 11:00

【转】[C/C++]函数参数的入栈顺序

0x%x]\n",y,&y); printf("z=0x%xat[0x%x]\n",z,&z); } intmain(intargc,char*argv[]) { inti=300; printf("iat
貉子·2014-07-02 15:00

我的学习笔记之三——inline使用DLL进行全局HOOK（ring3_inline_dll_hook_Messagebox）

IAT是修改EXE的导入地址，而JM
u013805103·2014-06-07 23:00

HOOK其他进程API和全局HOOK-API

（如果你是HOOK高手就不要看了） 在最初学HOOK-API的时候通常都是通过覆盖地址和修改IAT的方法。通过这两种技术，我们基本都可以实现对本进程的API函数进行HOOK了。
u013805103·2014-06-07 22:00

修改导入表HOOK API（ring3_iat_exe_hook_Messagebox）

IAT即ImportAddressTable是PE（可以理解为EXE）的输入地址表，我们知道一个程序运行时可以要调用多个模块，或都说要调用许多API函数，但这些函数不一定都在EXE本身中，例如你调用Messagebox
cbh84663973·2014-05-21 10:00

HOOK IAT

template __forceinline T*VA2RVA(PVOIDBase,ULONG_PTRVa) { return(T*)((PCHAR)Base+Va); } PIMAGE_IMPORT_DESCRIPTORGetImageImportDescriptor(HMODULEhModule) { IMAGE_DOS_HEADER*lpDosHeader=(IMAGE_DOS_HEADE
Sidyhe·2014-05-04 17:00

Hook技术

2、IAT（导入表）Hook。3、windows钩子函数。常用函数包括：SetWindowsHookEx()、CallNextHookEx()、UnhookWindowsHookEx()。
·2014-05-01 12:00

PE 导出表

当PE文件被执行的时候，Windows加载器将文件装入内存并将导入表(ExportTable)登记的动态链接库(一般是DLL格式)文件一并装入地址空间，再根据DLL文件中的函数导出信息对被执行文件的IAT
B_H_L·2014-04-11 14:00

C++应用程序在Windows下的编译、链接（四）动态链接

4动态链接4.1概述在静态链接阶段，链接器为PE文件生成了导入表，导出表，符号表，并调整了Call指令后面的操作数，在程序调用的时候，能够直接地或者间接地定位到IAT中的某个位置，在PE文件中，该位置包含符号的名称
dgly1611·2014-03-16 09:00

HOOK -- IAT HOOK 本进程MessageBox

结合网上资料、使用IATHOOK截获MessageBox函数、、、步骤如下1..写一个自己的MessageBox函数注意调用约定为__stdcall、、2..定义一MessageBox函数指针如下typedefint(__stdcall*pOldMBox)(HWNDhWnd,LPCTSTRlpText,LPCTSTRlpCaption,UINTuType);3..遍历本进程的导入表寻找Messag
天晴V587·2014-02-20 10:48

HOOK -- IAT HOOK 本进程MessageBox

结合网上资料、使用IATHOOK截获MessageBox函数、、、步骤如下1..写一个自己的MessageBox函数注意调用约定为__stdcall、、2..定义一MessageBox函数指针如下  typedefint(__stdcall*pOldMBox)(HWNDhWnd,LPCTSTRlpText,LPCTSTRlpCaption,UINTuType);3..遍历本进程的导入表寻找Mess
许朝·2014-02-20 10:48

时间标准总结 IAT、UT、UTC、GMT、夏令时

MyBlog：http://www.outflush.com原子时：InternationalAtomicTime（IAT）又称国际原子时，是一种通过原子钟得到的时间标准，原子钟是世界上已知最准确的时间测量和频率标准
gd920129·2013-10-27 01:00

发个 IAT HOOK代码

最近研究屏幕扫描算法  要HOOKBitBlt函数测试效果。采用远程注入DLLHOOKIAT实现，下面是主要代码，顺便拿出来分享下。高手飘过。//APIHOOK.cpp:DefinestheentrypointfortheDLLapplication.//#include"process.h"#include"stdio.h"#include"windows.h"HWNDhEdit;FILE*pf
u013805103·2013-10-25 11:00

我的学习笔记之二——修改导入表HOOK API（ring3_iat_exe_hook_Messagebox）

IAT即ImportAddressTable是PE（可以理解为EXE）的输入地址表，我们知道一个程序运行时可以要调用多个模块，或都说要调用许多API函数，但这些函数不一定都在EXE本身中，例如你调用Messagebox
u013805103·2013-10-23 09:00

我的学习笔记之三——inline使用DLL进行全局

IAT是修改EXE的导入地址，而JMP修改的是
u013805103·2013-10-23 09:00

HOOK其他进程API和全局HOOK-API

（如果你是HOOK高手就不要看了）在最初学HOOK-API的时候通常都是通过"覆盖地址"和"修改IAT"的方法。通过这两种技术，我们基本都可以实现对本进程的API函数进行HOOK了。
u013805103·2013-10-21 00:00

vc++HOOK API黑客外挂编程必知必会

#include//定义API挂接项结构typedefstruct_HOOK_ITEM{ DWORDdwAddr; //IAT项所在地址 DWORDdwOldValue; //IAT项的原始函数地址 DWORDdwNewValue
u013805103·2013-10-11 17:00

计算机时间系统

定义秒长：原子时IAT（internationalatomictime）（即国际原子时）：原子震荡，以精确的秒的定义为基础的时间    恒星时ST（siderealtime）：以恒星为基础的相对于原子时不十分精准的时间
城门虾米·2013-09-25 13:00

动态链接

动态链接4动态链接4.1概述在静态链接阶段，链接器为PE文件生成了导入表，导出表，符号表，并调整了Call指令后面的操作数，在程序调用的时候，能够直接地或者间接地定位到IAT中的某个位置，在PE文件中，
·2013-07-18 23:00

原创 C++应用程序在Windows下的编译、链接（四）动态链接

4动态链接4.1概述在静态链接阶段，链接器为PE文件生成了导入表，导出表，符号表，并调整了Call指令后面的操作数，在程序调用的时候，能够直接地或者间接地定位到IAT中的某个位置，在PE文件中，该位置包含符号的名称
dyllove98·2013-07-18 19:00

gui_base

_widget_h_#define _widget_h_#include using namespace std;enum WidgetType{WT_BTN, };enum InAreaType{IAT_OUT
小熊猫大暴走·2013-07-12 18:00

Get IAT Table

_asm{pushebp;movebp,esp;movedx,fs:[030h];movedx,[edx+08h];moveax,0x11111111;//eax->importtable 使用时用导入表RVA代替addeax,edx;IMPORT:cmp[eax],0;jzOVER;movedi,[eax+0ch];addedi,edx;movebx,[eax+10h];addebx,edx;/
NightStalter·2013-05-07 08:26

关于向用修改IAT 来HOOK exploere.exe 文件操作 结果失败

关于向用修改IAT来HOOKexploere.exe文件操作结果失败本来想写一个U盘保存删除过的程序，以为就只要修改IAT(PE的导入表就可以了)，但发现exploere根本就没有用直接调用文件操作API
c/c++·2013-04-29 00:00

自己动手,制作inline hook扫描工具

很久没来论坛了,今天来跟大家一起讨论一下关于检测内核中inline hook IAT hook方面的知识我们平时常用的工具中xuetr和kd都提供了这个功能,比较方便地可以让我们看出来是谁在我们的电脑中做了什么手脚不过现在有很多软件或者游戏不希望我们看到它们做的种种坏事
yeahhook·2013-03-28 09:00

模拟WSockExpert,使用APIHOOK

前面我还以为它是通过实时远程注入DLL来更改IAT.不过后来发现在程序一运行时, 它就已经将DLL插入所有进程了,这个跟冰哥写的那个模拟SOCKCAP的程序很相似.
yeahhook·2013-03-19 15:00

IAT Hook的原理

（PE文件不熟悉，dll注入了，用IAT拦截了，可是具体原理还是不熟悉，收藏资料以备来日复习……转载自：http://www.cnblogs.com/71dao/archive/2008/12/23/1360807
BetaBin·2013-03-13 17:00

小甲鱼PE详解之输入表（导出表）详解（PE详解09）

）当PE文件被执行的时候，Windows加载器将文件装入内存并将导入表(ExportTable)登记的动态链接库(一般是DLL格式)文件一并装入地址空间，再根据DLL文件中的函数导出信息对被执行文件的IAT
yeahhook·2013-03-01 12:00

外挂方式的简单总结

外挂方式的简单总结 Ø游戏外挂以Dll注入方式居多，修改方式为：    1.修改游戏代码(改变游戏的流程，使跳转的外挂自己的代码中)    2.修改游戏IAT（IATHook的方式挂钩游戏的Send()
逆向分析专栏·2012-12-05 14:00

（6）telock修复与跳过IAT加密

在压缩壳实例演示中除了FSG2.0，还有一个TELOCK0.98的，那TELOCK属于加密壳了，当然是非常简单的加密壳了，今天我们就看看这个壳在修复方面会遇到什么问题。TELOCK脱壳用最后一次异常法。一： 修复过程中卡机问题         TELOCK不用获取RAV，也没必要。获取输入表后发现有大量无效函数，有无效函数当然就要追踪了。先用追踪级别一，发现不起作用。那就追踪级别三上了，一般追踪级
eldn__·2012-10-03 15:00

（5） 定位IAT

3，用Import reconstructor 找到进程，输入OEP-->自动搜索IAT，记录下RVA。
eldn__·2012-10-03 15:00

0.ring0-遍历IAT（特例NTOS）

原NTOS的IAT只能通过IMAGE_DIRECTORY_ENTRY_IAT（12）来获得，因为NTOS加载完后，INIT方式加载，所以IMAGE_DIRECTORY_ENTRY_IMPORT对应的区域被释放了
hgy413·2012-07-25 21:00

0.ring3-ImportREC重建输入表

1.目标文件已完全被Dump，另存为一个文件2.目标文件必须正在运行中3.事先找到目标程序真正的入口(OEP)或IAT的偏移与大小 以加壳RebPE.exe为例，首先OD加载：调试到00413001，设置硬件断点
hgy413·2012-07-10 13:00

自己对壳处理的IAT的一点理解

脱壳很重要的一步就是修复IAT，他关系到脱壳后的程序能否正常运行。
victims2012·2012-06-21 05:10

IAT表详解

 IAT表详解http://blog.163.com/ljm1113@126/blog/static/57984452201201485318443/ IAT表详解IAT的全称是ImportAddressTable
yeahhook·2012-06-13 21:00

修改导入表HOOK API（ring3_iat_exe_hook_Messagebox）<转>

IAT即ImportAddressTable是PE（可以理解为EXE）的输入地址表，我们知道一个程序运行时可以要调用多个模块，或都说要调用许多API函数，但这些函数不一定都在EXE本身中，例如你调用Messagebox
gaoxin1076·2012-04-15 18:00
上一页 2 3 4 5 6 7 8 9 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他