首页
论坛
课程
招聘
[原创]ring3下的IAT HOOK
2013-3-28 11:30 26928

[原创]ring3下的IAT HOOK

2013-3-28 11:30
26928
IAT hooking
当应用程序使用另一个动态库的函数时,PE装载器会找到每个IAMGE_IMPORT_BY_NAME结构所指向的输入函数的地址,然后把这些地址存储在一个叫做IAT的表。当函数CALL一个输入函数的时候,会先在IAT找到对应的函数地址,紧接着再进入该函数空间。熟悉PE结构的朋友应该清楚,IAT是一个IMAGE_THUNK_DATAj结构的数组。只要程序装载进内存中,就只与IAT查询信息,所以可见IAT表是一个非常重要的位置。
如果在IAT表中把某个函数的地址修改为钩子函数的地址,当调用到函数的时候,就会执行到该钩子函数中去。示例代码如下:
钩子函数,这里只是简单的弹出个窗口:
 
int
WINAPI
MyMessageBoxW(
/* __in_opt HWND hWnd,
__in_opt LPCWSTR lpText,
__in_opt LPCWSTR lpCaption,
__in UINT uType*/)
{
//todo yourself
return MessageBox(NULL, "hello world", "caption", MB_OK);
}

ROOKIT函数,获取目标函数的地址,然后调用IAT HOOK函数ImportAddressTableHook,修改IAT表的值。
BOOL Rookits
(
IN HMODULE hModule,
IN LPCTSTR pImageName,
IN LPCTSTR pTargetFuncName
)
{
LPDWORD pTargetFuncAddr = NULL;
HMODULE hLib = LoadLibrary(pImageName);
if (NULL != hLib)
{
pTargetFuncAddr = (LPDWORD)GetProcAddress(hLib, pTargetFuncName);
return ImportAddressTableHook(hModule, pImageName, pTargetFuncAddr, MyMessageBoxW);
}
 
return FALSE;
}

修改IAT表的函数,通过所在模块的基地址hModule找到输入表的数据目录项,获取IAT的首指针,查询目标函数地址所在的位置,然后修改为钩子函数的地址。
 BOOL ImportAddressTableHook
(
 IN HMODULE hModule,
 IN LPCTSTR pImageName,
 IN LPCVOID pTargetFuncAddr,
 IN LPCVOID pReplaceFuncAddr
 )
{
    IMAGE_DOS_HEADER* pImageDosHearder = (IMAGE_DOS_HEADER*)hModule;
    IMAGE_OPTIONAL_HEADER* pImageOptionalHeader = (IMAGE_OPTIONAL_HEADER*)((DWORD)hModule+pImageDosHearder->e_lfanew+24);    
    IMAGE_IMPORT_DESCRIPTOR* pImageImportDescriptor = (IMAGE_IMPORT_DESCRIPTOR*)
        ((DWORD)hModule+
        pImageOptionalHeader->DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);
    IMAGE_THUNK_DATA* pImageThunkData = NULL;
    string TargetLibraryName;
    DWORD Value = 0, OldProtect = 0, NewProtect = 0;
    LPDWORD FunctionAddress = NULL;
    MEMORY_BASIC_INFORMATION InforMation;
 
 
    while(pImageImportDescriptor->Characteristics  != 0)   
    {   
        TargetLibraryName=(LPCTSTR)((DWORD)hModule+pImageImportDescriptor->Name);
        if(TargetLibraryName.compare(pImageName) == 0)
        {   
            pImageThunkData = (IMAGE_THUNK_DATA*)((DWORD)hModule + pImageImportDescriptor->FirstThunk);
            break; 
        } 
        pImageImportDescriptor++;   
    }  
    if (pImageThunkData == NULL)
    {
        return FALSE;
    } 
    while(pImageThunkData->u1.Function)   
    {   
        //循环查找目标函数地址所在的位置
        FunctionAddress = (LPDWORD)&(pImageThunkData->u1.Function);
        if(*FunctionAddress == (DWORD)pTargetFuncAddr)
        {    
            //找到目标函数的地址,然后修改为钩子函数的地址
            VirtualProtect(FunctionAddress, sizeof(DWORD), PAGE_READWRITE, &OldProtect);
            if(!WriteProcessMemory((HANDLE)-1, FunctionAddress, &pReplaceFuncAddr, 4, NULL))
            {
                return FALSE;
            }
            VirtualProtect(FunctionAddress, sizeof(DWORD), OldProtect, NewProtect );   
            return TRUE; 
        }  
        pImageThunkData++;   
    }
    return FALSE;
} 


也许你会注意到,如果使用了延迟装入数据,那么示例代码是无效的,因为程序会使用___delayLoadHelper2来加载,具体代码可在delayhlp.cpp查看,里面直接GetProcAddress获取该函数地址,对于这种情况只能再HOOK多一个函数,即GetProcAddress。
___delayLoadHelper2代码片段:
// Go for the procedure now.
//
dli.hmodCur = hmod;
if (__pfnDliNotifyHook2) {
pfnRet = (*__pfnDliNotifyHook2)(dliNotePreGetProcAddress, &dli);
}
if (pfnRet == 0) {
if (pidd->rvaBoundIAT && pidd->dwTimeStamp) {
// bound imports exist...check the timestamp from the target image
//
PIMAGE_NT_HEADERS pinh(PinhFromImageBase(hmod));
 
if (pinh->Signature == IMAGE_NT_SIGNATURE &&
TimeStampOfImage(pinh) == idd.dwTimeStamp &&
FLoadedAtPreferredAddress(pinh, hmod)) {
 
// Everything is good to go, if we have a decent address
// in the bound IAT!
//
pfnRet = FARPROC(UINT_PTR(idd.pBoundIAT[iIAT].u1.Function));
if (pfnRet != 0) {
goto SetEntryHookBypass;
}
}
}
 
pfnRet = ::GetProcAddress(hmod, dli.dlp.szProcName);
}

2021 KCTF 秋季赛 防守篇-征题倒计时(11月14日截止)!

上传的附件:
收藏
点赞0
打赏
分享
最新回复 (23)
雪    币: 137
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
小林先生 活跃值 2013-3-28 11:41
2
0
难不成我还抢了个沙发,支持下
雪    币: 5468
活跃值: 活跃值 (195)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Protected 活跃值 2013-3-28 12:41
3
0
学习了......
雪    币: 2329
活跃值: 活跃值 (322)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
CRoot 活跃值 2013-3-28 12:58
4
0
有收获。。。
雪    币: 21
活跃值: 活跃值 (229)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
靴子 活跃值 2013-3-28 13:35
5
0
收藏~~~~~
雪    币: 325
活跃值: 活跃值 (34)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
地狱怪客 活跃值 2 2013-3-28 15:08
6
0
shafa,
雪    币: 35843
活跃值: 活跃值 (153788)
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
linhanshi 活跃值 2013-3-28 15:17
7
0
Thanks for share.
雪    币: 255
活跃值: 活跃值 (18)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
AioliaSky 活跃值 1 2013-3-28 17:02
8
0
来学习一下,支持了
雪    币: 1332
活跃值: 活跃值 (318)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Crakme 活跃值 2013-3-29 08:57
9
0
有码就是好  谢谢分享
雪    币: 49
活跃值: 活跃值 (87)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
gdut 活跃值 2013-3-29 11:42
10
0
用了楼主的方法去测试了下不成功啊,你给一个你的测试实例来看看吧!
雪    币: 12
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
safeboy 活跃值 2013-3-29 12:55
11
0
虽然我还看不懂,帮顶一个先
雪    币: 121
活跃值: 活跃值 (24)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
hostzhen 活跃值 1 2013-3-30 14:32
12
0
雪    币: 25
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
gdutlison 活跃值 2013-3-31 13:00
13
0
刚下载,支持一下。。
雪    币: 40
活跃值: 活跃值 (12)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
星逝 活跃值 1 2013-4-3 21:36
14
0
while(pImageImportDescriptor != 0)   
{
    ...
    pImageImportDescriptor++;   
}
这里若是一直匹配不到恐怕要崩溃吧?判断条件应该是pImageImportDescriptor->Characteristics != 0。
雪    币: 121
活跃值: 活跃值 (24)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
hostzhen 活跃值 1 2013-4-4 10:40
15
0
多谢星逝兄提醒,判断条件应该改为数组里的任意一个成员不为零
雪    币: 112
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
xhltoo 活跃值 2013-4-20 14:26
16
0
东西不错,留个脚印
雪    币: 25
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
sunflover 活跃值 2013-6-2 01:52
17
0
thanks for sharing .
you were wrong.
雪    币: 36
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
二叶 活跃值 2013-8-23 19:39
18
0
支持支持,下载下来看看
雪    币: 21
活跃值: 活跃值 (93)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
ZSYL 活跃值 2013-11-28 22:15
19
0
不错不错。。。
雪    币: 21
活跃值: 活跃值 (93)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
ZSYL 活跃值 2013-11-28 23:38
20
0
细节问题还有,pImageImportDescriptor->Name 是ansi字符串,强转为LPCTSTR会有问题的。得用A2W转一下
雪    币: 21
活跃值: 活跃值 (93)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
ZSYL 活跃值 2013-11-28 23:53
21
0
附一个修改版+测试代码
BOOL IATHook( IN HMODULE hModule, IN LPCTSTR pImageName, IN LPCVOID pTargetFuncAddr, IN LPCVOID pReplaceFuncAddr )
{
    IMAGE_DOS_HEADER* pImgDosHdr = ( IMAGE_DOS_HEADER* )hModule;
    IMAGE_OPTIONAL_HEADER* pImgOptHdr = ( IMAGE_OPTIONAL_HEADER* )( ( DWORD )hModule + pImgDosHdr->e_lfanew + 24 );
    IMAGE_IMPORT_DESCRIPTOR* pImgImportDes = ( IMAGE_IMPORT_DESCRIPTOR* )( ( DWORD )hModule + pImgOptHdr->DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress );
    IMAGE_THUNK_DATA* pImgThunkData = NULL;
    wstring TargetLibraryName;
    DWORD Value = 0;
    DWORD OldProtect = 0;
    DWORD NewProtect = 0;
    LPDWORD FuncAddress = NULL;
    
    while ( pImgImportDes->Characteristics  != 0 )
    {
        USES_CONVERSION;
        LPCTSTR lpszName = A2W( ( ( LPCSTR )( DWORD )hModule + pImgImportDes->Name ) );
        TargetLibraryName = lpszName;
        if ( TargetLibraryName.compare( pImageName ) == 0 )
        {
            pImgThunkData = ( IMAGE_THUNK_DATA* )( ( DWORD )hModule + pImgImportDes->FirstThunk );
            break;
        }
        pImgImportDes++;
    }
    if ( pImgThunkData == NULL )
    {
        return FALSE;
    }
    while ( pImgThunkData->u1.Function )
    {
        //循环查找目标函数地址所在的位置
        FuncAddress = ( LPDWORD ) & ( pImgThunkData->u1.Function );
        if ( *FuncAddress == ( DWORD )pTargetFuncAddr )
        {
            //找到目标函数的地址,然后修改为钩子函数的地址
            VirtualProtect( FuncAddress, sizeof( DWORD ), PAGE_READWRITE, &OldProtect );
            if ( !WriteProcessMemory( ( HANDLE ) - 1, FuncAddress, &pReplaceFuncAddr, 4, NULL ) )
            {
                return FALSE;
            }
            VirtualProtect( FuncAddress, sizeof( DWORD ), OldProtect, 0 );
            return TRUE;
        }
        pImgThunkData++;
    }
    return FALSE;
}

typedef int ( WINAPI* SysMessageBoxW )( HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType );
SysMessageBoxW g_MessageBoxW = 0;

int WINAPI MyMessageBoxW( HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType )
{
    return g_MessageBoxW( NULL, _T( "hello world" ), _T( "caption" ), MB_OK );
}

BOOL Rookits(HMODULE hModule,LPCTSTR pImageName,LPCSTR pTargetFuncName)
{
    HMODULE hLib = LoadLibrary( pImageName );
    if ( NULL != hLib )
    {
        g_MessageBoxW = ( SysMessageBoxW )GetProcAddress( hLib, pTargetFuncName );
        BOOL bRet = IATHook( hModule, pImageName, g_MessageBoxW, MyMessageBoxW );
        FreeLibrary( hLib );
        return bRet;
    }
    
    return FALSE;
}

void Test()
{
    Rookits( GetModuleHandle( NULL ), _T( "USER32.dll" ), ( "MessageBoxW" ) );
    MessageBox( NULL, _T( "h" ), 0, 0 );
}

雪    币: 79
活跃值: 活跃值 (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
cqzj70 活跃值 2014-1-16 16:56
22
0
mark
雪    币: 470
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
cnxxm 活跃值 2014-1-16 18:13
23
0
学习!顶一个
雪    币: 359
活跃值: 活跃值 (44)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
VEhl 活跃值 2020-11-16 20:14
24
0
mark
游客
登录 | 注册 方可回帖
返回