在上一篇文章中介绍了以模拟调试器的方式来对特定的API地址进行钩取。而这次本篇文章介绍的是修改IAT来同样达到钩取API的目的，这也是一种“劫持”API的方法。

本文为个人学习《逆向工程核心原理》书籍的学习笔记，如果想深入学习逆向工程，推荐去观摩一下该本书籍。因为它实在是十分的易懂。

当程序调用函数的时候，它会使用函数所在模块名称进行一个查表操作。这个表就是俗称的IID（IMAGE_IMPORT_DESCRIPTOR）。表上记载着程序调用目标函数的地址又称为IAT。待查询到目标函数地址后，程序才会真正的通过这个函数地址来进行函数调用：

而我们只要修改IID中记录的对应的函数地址IAT，使它指向我们自己定义的另一个MessageBoxA，这样函数查表返回的地址就不是原来程序中定义的地址，而是我们修改后指向自己定义函数的地址了，这就完成了一次IAT“劫持”。

整体思路：将修改函数地址的实现，以及新函数的实现写在一个DLL里，再编写一个注入器，将该DLL注入到目标程序中。DLL注入成功后便会修改IAT函数地址，达到IAT钩取的目的。

细节思路：主要是如何找到该程序的IID里对应的IAT。我们可以先使用getModuleHandle(NULL)函数找到当前被注入程序的基址pfile，该基址即是指向当前PE文件DOS头的起始地址。通过DOS头结构体的e_lfanew属性，获取到NT头的虚拟内存空间的偏移量RVA，将该值加上基址pfile即可得到NT头的虚拟内存地址。而最后通过相关的属性操作，就可以从NT头中获取对应的IAT地址。

例中使用的依旧是上篇文章中编写的可怜的弹窗程序：

IAT钩取具有一定的局限性，我们只能钩取IAT中存在的函数，而不能无中生有。而我们定义的函数签名也必须符合钩取的原函数前的签名；如参数类型，函数返回等须相同。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)