IAT HOOK、EAT HOOK和Inline Hook区别
IAT hook导入表hook原理：修改导入表中某函数的地址到自己的补丁函数。IATHook
通过GetProcAddress获取目标函数地址
在程序内存中找到所在dll的导入表
查找目标函数地址保存的位置
把地址修改为自己补丁函数
问题：当该函数递归调用时，不会被hook
为解决这个问题，可以使用inline hook
inline hook
需要一个代理函数ProxyFunction，调用Function时候，会跳转到代理函数，代理函数执行的最后要执行一个与目标函数一样定义的执行函数OriginalFunnction,这个函数执行的shell code代码。
因此最好的方法是Inline hook，如微软的detour库采用的方法，修改函数开头几个字节的机器码，使执行流程一进入函数就调到补丁代码，
执行完补丁代码后在另外一个地方执行函数原来几个字节的代码（此处并不还原开头几个字节机器码），
然后然后跳转到原函数patch后面的指令继续执行，永久的改变了函数内容。
因为微软detour库有自带反汇编引擎，
因此无需担心会破坏接下来执行的完整性，如果自己手动实现的话，需要先观察函数开头的执行，做到指令对齐，
以免破坏patch后指令的完整导致执行崩溃。
页:
[1]