-
-
[原创]<<游戏外挂攻防艺术>>Hook虚表
-
发表于: 2013-3-7 13:23
-
亲，我认为给一个虚函数的序号，然后，把虚表对应位置替换成jmp，这样单个hook，不是上策。
首先，序号可能会因软件版本而变化，你的hook就失效了，不能取得一劳永逸的效果。
第二，对应某个对象，如果其虚函数对应的序号不知道的情况下，你如何监控到它，这就需要你去调试。
我在<<游戏外挂攻防艺术>>里面对于虚表hook这块有一个比较好的方案。
就是采用模糊长度的假虚表来替换真虚表的方案，这样能做到监控任意虚函数的调用，一劳永逸。
下面是附图：
统一的监控函数，不仅可以看到调用顺序，而且，可以做差异分析，比如一个动作引发一个调用顺序，执行另外一个动作的时候
有一个不同的调用顺序，对两次调用顺序做差异分析，可以看出，两次动作特有的虚函数调用，和不同的虚函数调用。
这幅图，让我想起了老子<<道德经>>里面说的“道生一，一生二。。。。”和“负阴抱阳”，你看呢？
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Thanks for shrae.
|
|
|
小鸡弟弟完爆...........bingo.........
|
|
|
|
|
|
的确，虚函数表Table跟IAT，EAT一样，也是在pe的Section里面，篡改PE结构，将会被一个MD5，校验和之类的Check直接秒杀...
|
|
|
|
|
|
|
