-
-
未解决 [悬赏]被IAT hook 后 怎么获得函数的原始地址 2.00雪花
-
发表于: 2017-6-3 14:29
-
函数已经被IAThook
图中是PCHunter获得到的地址
求教 怎么才能获得被IATHOOK后的函数的原始地址呢?
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
目前能想到的有两种情况：
第一，宿主程序的INT保存完好，这时候可以根据函数名同时利用GetProcAddress获得正确的API地址 第二，宿主程序的INT被破坏性的转储，而且加上HOOK的影响，API在执行时并不是直接跳转到正确的地址，这时候可以考虑当前虚存中有多少dll是载入到里面的，并记录下他们的BaseStartAddr和BaseEndAddr，当程序跳转到的地址和这些记录的范围发生匹配关系时，即可进行还原，还原过程可能如下，首先要在该匹配DLL的导出表中找到和真实跳转地址匹配的值，然后将该API的函数名和真实地址修复回原来的导入表中即可（猜想importREC的hook修复过程也是这样的把） 
|
|
|
这样获取到的依然是钩子构造好的函数地址 |
|
|
|
|
|
|
|
|
|
htpidk
