能力值：
( LV4，RANK：50 )
|
-
-
2 楼
准备 path dll? 期待下文
|
能力值：
![]()
(RANK：570 )
|
-
-
3 楼
这就不 明白了
难道DLL中调用其他DLL不需要通过输入表？
在OD的内存窗口没有看到MYNTDLL？
|
能力值：
( LV6，RANK：90 )
|
-
-
4 楼
不懂了~~~期待牛人~~~
|
能力值：
( LV2，RANK：10 )
在线值：
|
-
-
5 楼
在OD中,没有看到myNtDll
当调用ntdll.dll中的涵数是显示是这样的
0028100F 77 6B ja short <&myn.RtlUnicodeStringToAn>
00281011 15 F577FB5D adc eax, 5DFB77F5
00281016 F777 08 div dword ptr [edi+8]
<&myn.RtlUnicodeStringToAn>
这个涵数,实际上是转向ntdll.RtUnicodeStringToAn
|
能力值：
![]()
(RANK：570 )
|
-
-
6 楼
我W2K SP 4
用记事本改了之后直接出错运行不起来
不知道是不是我不会改了。。我把名字改成MYKER.DLL和MYNT.DLL
|
能力值：
( LV2，RANK：10 )
在线值：
|
-
-
7 楼
你改成MYKER.DLL和MYNT.DLL时
是不是忘了NULL结尾?
|
能力值：
( LV2，RANK：10 )
在线值：
|
-
-
8 楼
关于改DLL的输入表,不知道有哪位牛人研究过,呵呵
|
能力值：
( LV2，RANK：10 )
在线值：
|
-
-
9 楼
睡觉去了,明天继续 :)
|
能力值：
![]()
(RANK：570 )
|
-
-
10 楼
我用PE TOOLS改的，刚试过把KERNEL32。DLL换成31，，，还在注册表KNOWDLL那里添加了一个项，都没成功，没搞懂是为什么
|
能力值：
( LV2，RANK：10 )
在线值：
|
-
-
11 楼
我用的是OD改的...
只改了IAT中的 Dll名称
|
能力值：
![]()
(RANK：570 )
|
-
-
12 楼
晕哦，OD载入的时候，IAT已经填充完毕了。所以DLL名字变了，还是指向原来的地址
|
能力值：
( LV2，RANK：10 )
在线值：
|
-
-
13 楼
嗯,你的情况和我一样...
|
能力值：
( LV2，RANK：10 )
在线值：
|
-
-
14 楼
如果这样改DLL的IAT不行的话,看样子只能写个勾子程序,进行动态改了
|
能力值：
![]()
(RANK：570 )
|
-
-
15 楼
你误会我的意思了
系统加载PE文件的时候，会把输入表中的API NAME通过查找对应DLL的输出表换成API ADDRESS。
当TEB和PEB初始化完毕时，通过DBGBREAKPOINT这个NATIVE API把控制权给R3调试器（就是系统断点）。
所以如果你用R3调试器，能改IAT的时候，改DLL名字已经没有意义。程序是通过API ADDRESS直接访问链接库。
如果你希望进行API重定向，你应该做的是修改API ADDRESS。论坛翻译区有篇文章就是专门讨论API重定向技术的，建议你看一看，有详细的描述和实现代码
|
能力值：
( LV2，RANK：10 )
在线值：
|
-
-
16 楼
最初由 笨笨雄 发布
你误会我的意思了
系统加载PE文件的时候，会把输入表中的API NAME通过查找对应DLL的输出表换成API ADDRESS。
当TEB和PEB初始化完毕时，通过DBGBREAKPOINT这个NATIVE API把控制权给R3调试器（就是系统断点）。
........
系统加载PE文件的时候，会把输入表中的API NAME通过查找对应DLL的输出表换成API ADDRESS。
-------这个对应的dll就是IAT中对应的dll名称
我现在所做的,就是把这个名字改为我自已copy的dll,从理论上说,后面的导入表中的涵数转换成地址,都是围绕着我copy的dll进行的,但系统所却还是围绕ntdll.dll进行,我想可能是在PE文件格式中,有某个关健字段,没有理解
|
能力值：
![]()
(RANK：570 )
|
-
-
17 楼
建议你用R0调试器看看，跟踪CREATEPROCESS函数的整个过程，然后就有答案了。
|
能力值：
( LV2，RANK：10 )
在线值：
|
-
-
18 楼
已为是绑定输入出了问题,后把绑定输入的DLL名改为我所copy的dll,导制加载失败...后干脆把绑定输入去掉,结果还是加载失败,这东西,弄起来还真是麻烦
我看还是动态用勾子改,比较方便 
|
能力值：
![]()
(RANK：570 )
|
-
-
19 楼
HOOK SSDT就方便了。。。转入R0玩吧。。
|
能力值：
( LV6，RANK：90 )
|
-
-
20 楼
酷酷 你HOOK方式成功没?
|
|
|
|
