IAT Hooking

IAT Hooking là một kỹ thuật hook hàm API. Tôi có tìm trên mạng một số source code nhưng không rõ ràng lắm. Vì vậy tôi quyết định viết tut này chủ yếu để làm rõ cho những ai còn lờ mờ chưa thực hiện được kỹ thuật này. Bài viết tôi không viết kỹ chi tiết về lý thuyết. Chủ yếu là đề xuất cho bạn một ví dụ source code, để các bạn tham khảo thực hiện. Vì vậy tôi có sử dụng lại một số nội dung trong các bài viết của các tác giả khác. Mong các bạn thông cảm vì thực sự tôi ko có thời gian nhiều. Khi nào rãnh sẽ trao chuốc lại tut này. Code ví dụ bài viết này chủ yếu dựa vào bài tut rất nổi tiếng: “Technics of hooking API functions on Windows” của Holy_Father .

Download:

http://www.mediafire.com/?33m4gowymvk

Ghi chú : code này chưa chuẩn mực, chỉ tham khảo để hiểu cơ chế

[airsport]

down không được anh benina ạ.

[benina]

Nguyên văn bởi airsport

down không được anh benina ạ.

Vãn download được bình thường mà em.

[T4mQu0c]

Download được mà
Thanks anh benina

[vietwow]

Hình như kỹ thuật của bác benina là hook ngay trong IAT table của binary file, ngoài ra em còn thấy 1 kỹ thuật IAT khác là nó thay thế địa chỉ IAT nằm trong process memory lun, ko đụng đến cấu trúc PE file. Ko bít ưu & nhược điểm của 2 loại này khác nhau thế nào nhỉ?

Thân,

[DungCoi]

Nguyên văn bởi vietwow

Hình như kỹ thuật của bác benina là hook ngay trong IAT table của binary file, ngoài ra em còn thấy 1 kỹ thuật IAT khác là nó thay thế địa chỉ IAT nằm trong process memory lun, ko đụng đến cấu trúc PE file. Ko bít ưu & nhược điểm của 2 loại này khác nhau thế nào nhỉ?

Thân,

Cái này em ko hiểu ý anh lắm, nhưng đã gọi là hook thì làm gì có vụ chỉnh binary file, khi nào cũng là điều chỉnh trực tiếp trên memory mà ?

Em có hiểu nhầm gì thì mong được chỉnh đốn dùm

[benina]

Nguyên văn bởi vietwow

Hình như kỹ thuật của bác benina là hook ngay trong IAT table của binary file, ngoài ra em còn thấy 1 kỹ thuật IAT khác là nó thay thế địa chỉ IAT nằm trong process memory lun, ko đụng đến cấu trúc PE file. Ko bít ưu & nhược điểm của 2 loại này khác nhau thế nào nhỉ?

Thân,

Bác xem kỹ phần ví dụ, đâu có chỉnh IAT của binary file. Nó chỉnh bảng IAT trong memory khi process được Win32 Loader load hoàn chỉnh lên bộ nhớ. Thực ra tut này chỉ cố gắng để các bạn hiểu chổ này nên tôi có dùng Olly để debug. Chứ thực ra cách này là dễ nhất và thuần nhất.

[vietwow]

Sorry anh em, mình newbie nên còn "gà", có gì mong anh em thông cảm đúng là ko liên quan binary

Đúng là em nhầm, nhưng vì thật sự em có đọc 1 số tut IAT ko hề tác động đến phần cấu trúc PE file luôn và code viết đơn giản hơn code lọai của bác benina, để hôm nào lục lại rồi post lên cho mọi người xem

[airsport]

Nguyên văn bởi vietwow

Sorry anh em, mình newbie nên còn "gà", có gì mong anh em thông cảm đúng là ko liên quan binary

Đúng là em nhầm, nhưng vì thật sự em có đọc 1 số tut IAT ko hề tác động đến phần cấu trúc PE file luôn và code viết đơn giản hơn code lọai của bác benina, để hôm nào lục lại rồi post lên cho mọi người xem

Cậu tham khảo tut nè "Understanding RVAs and Import Tables" có trên http://nhatphuongle.spaces.live.com
kết hợp với cái tut của anh bebina IATHooking hi vọng sẽ giúp ích được cậu.
Hì còn mình vẫn thích đi từ cơ bản lên