首页
社区
课程
招聘
[讨论]关于对抗迅雷的反内联API HOOK!
发表于: 2007-9-29 17:16 12479

[讨论]关于对抗迅雷的反内联API HOOK!

HSQ 活跃值
8
2007-9-29 17:16
12479
当我们用远线程,line hook api 大部分程序都会被HOOK,可是最近版本的迅雷似乎存在反内联API HOOK的功能。只要对WSAsend,WSArecv实施line hook 就会自动退出,而对于向GetProcessAddress,send,recv,等HOOK则成功。另外,迅雷不是是用send,recv处理数据发送与接受的,之所以也成功,更表明其内部反HOOK功能的存在。
line hook  的方式为:
   /*
	77E71314 >  55              push    ebp
	77E71315    8BEC            mov     ebp, esp    //伪装入口标志
	77EBAFEF    90              nop		      //防止对跳转的检查
	77EBAFF0    5D              pop     ebp               //恢复EBP
	77E7131A    51              push    ecx	      //保护现场
	77E7131B    52              push    edx
                              push    lpParm
                              call       HookXApi
   */

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (6)
雪    币: 248
活跃值: (42)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
能说清楚点吗?
2007-9-29 21:41
0
雪    币: 427
活跃值: (412)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
LZ HOOK迅雷有什么价值?
2007-10-2 09:24
0
雪    币: 257
活跃值: (56)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
4
inline hook api跟hook api的区别是什么?
inline是不是就
jmp xxxx
push ad
xxxxx
popad
jmp xxx?
2007-10-4 16:25
0
雪    币: 381
活跃值: (140)
能力值: ( LV13,RANK:330 )
在线值:
发帖
回帖
粉丝
5
无论怎样处理,只要能够HOOK “WSAsend”这个API,并将其数据截拦显示出来就行。但前提是被HOOK的软件本身存在反HOOK  API的能力,比喻新版本的迅雷。目前,我发觉只有对迅雷HOOK某些API(比喻WSAsend)失败,其余的如Server-U, Flashget,ftp等网络通信程序都能接拦。如果只是针对的只是普通的网络程序,那么讨论反反HOOK API也没有必要,希望各位路过的高手能指点一二,最好能给出一个有实际功能的“反反HOOK API”Demo,或“反HOOK API”Demo(测试看看能过得了我HOOK API)。
2007-10-7 10:48
0
雪    币: 8835
活跃值: (2404)
能力值: ( LV12,RANK:760 )
在线值:
发帖
回帖
粉丝
6
0.取出IAT中第一个非ntdll的DLL,开始Anti Hook
1.首先找到要anti hook的dll的baseaddress
2.Umap BassAddress(ZwXXX函数)
3.重新load dll(自己写!)到该BaseAddress
4.检查自己的IAT,重新构造与该dll之间的引用
5.根据IAT下一个要anti hook的dll,goto 1,如果没有剩余dll,则goto 6
6.load ntdll.dll到内存重定位(可以让驱动来做这些,然后map tu user),检查本进程空间的ntdll内容与load的内容是否有不同,有不同修正并goto 0,没有不同则推出anti hook
2007-10-8 13:39
0
雪    币: 381
活跃值: (140)
能力值: ( LV13,RANK:330 )
在线值:
发帖
回帖
粉丝
7
谢谢“CVCVXK”指教,小弟已经用上述思路完美的解决了问题。看来高手就是见多识广,思路开阔。自己当初只是考虑了多线程,异常处理中是否含有anti hook程序段,没有想到从源头着手,结果给困住了。
2007-10-8 20:33
0
游客
登录 | 注册 方可回帖
返回
//