能力值:
( LV2,RANK:10 )
在线值:
|
-
-
2 楼
那是因为你还没学PE格式。
|
能力值:
( LV2,RANK:10 )
|
-
-
3 楼
感谢2楼的回复。
下面我讲下我是怎么利用我会的PE格式找要拦截的函数的,错了的地方望高手提点下。
这个要被拦截的函数,位于一个没加壳的.exe中。
PE结构式由DOS头,PE文件头,块表,块,调试信息组成。
dwBaseImage为基地址
PIMAGE_THUNK_DATA pIAT;
如果想要找到某个函数(这个函数不是动态注入的),通过PE文件头的数据目录表的第二个IMAGE_DIRECTORY_ENTRY_IMPORT结构找到pIID(如果不是的话pIID++),
然后通过判断pIID->OriginalFirstThunk 是否为0来确定用
pIAT = (PIMAGE_THUNK_DATA)( dwBaseImage + pIID->FirstThunk ) 还是
pIAT =(PIMAGE_THUNK_DATA)( dwBaseImage + pIID->OriginalFirstThunk )
然后要判断该DLL是否以序号的方式引出函数的。。。(是的话,我也不知道怎么做了,不是的话就接着下面)
然后通过dwBaseImage+*((DWORD*)pIAT)+2来判断是否要被拦截的函数的,通过改变函数的名字就能作一个简单的拦截。
现在我能取得DLL,但去到上面的判断该DLL是否以序号的方式引出函数那里。。发现。。。是以序号引出。。。不知道怎么办了。。。求高手指教下,感激感激。。。
|
能力值:
( LV2,RANK:10 )
|
-
-
4 楼
求高手指导下
|
能力值:
( LV4,RANK:50 )
|
-
-
5 楼
GetProcAddress(hdll, (LPSCTR)22222)
|
能力值:
( LV2,RANK:10 )
|
-
-
6 楼
谢谢。。。5楼的回复。。
但是我试过你讲的方法。。。不行。。。。返回NULL喔。。。。
DLL的模块能正确获得。。。
|
能力值:
( LV4,RANK:50 )
|
-
-
7 楼
有这么麻烦么?直接下载一个拦截摸块不就OK了?
我记得有一篇叫“apihook实例剖析”的文章很合适你。
|
能力值:
( LV2,RANK:10 )
|
-
-
8 楼
感谢7楼的回复。。
我不想用这个模块来拦截。因为这个拦截的学习,如果通过修改IAT,将更有利于我对PE结构的理解和分析,
在<<加密与解密 第三版>>中只是略略带过这个序号的问题,并没有详细介绍,所以。。。想高手解答解答,感谢
|
能力值:
( LV4,RANK:50 )
|
-
-
9 楼
序号跟函数名本质是一样的 最终都是通过序号来查找的
第二个参数直接传序号即可
|
能力值:
( LV2,RANK:10 )
|
-
-
10 楼
小弟笨。。不知道那个函数的序号。。。  望指导。。感激感激
|
能力值:
( LV4,RANK:50 )
|
-
-
11 楼
你连函数名、序号都不知道 那你钩什么 你怎么知道他是函数的????。。。。。
|
能力值:
( LV2,RANK:10 )
|
-
-
12 楼
我钩的是WS2_32.DLL的WSASend..(这个是DLL被加载于酷我音乐盒中)
我用查看PE结构的工具区查看这个程序(酷我音乐盒)的输入函数,有些是有名字的,如果把上面WS2_32.DLL和WSASend换成那些有名字的,就成功了。。
|
能力值:
( LV2,RANK:10 )
|
-
-
13 楼
补充下。。我只知道那个酷我音乐盒中有WS2_32.DLL(用VC带的工具或PE工具都能看到),但不知道他用了哪些函数(因为它是用序号输入的,不是用函数名),所以正如你所讲的,我也不知道它是否有用到WSASend,但是它是一个基于网络通信的程序(应该是TCP通信),所以我猜想它应该用到WSASend或者Send。。。
|
能力值:
( LV2,RANK:10 )
|
-
-
14 楼
。。自己顶个。。无奈中。。没现金。。没人答。。。
|
能力值:
( LV2,RANK:10 )
在线值:
|
-
-
15 楼
你的目的是拦截函数,所以可以通过修改pe文件,使按序号导入的为名称导入,此时就可以提供一个名称,如果拦截函数中还要使用替换了的函数,同样可以按序号导入即可。
|
能力值:
( LV2,RANK:10 )
|
-
-
16 楼
你的目的是拦截函数,所以可以通过修改pe文件,使按序号导入的为名称导入,此时就可以提供一个名称,如果拦截函数中还要使用替换了的函数,同样可以按序号导入即可。
请问如何 使按序号导入的为名称导入,我不知道那个函数对应着哪个序号。。。所以不知道该改哪个。。
|
能力值:
( LV2,RANK:10 )
在线值:
|
-
-
17 楼
友情顶贴一下
|
|
|