导入地址表(IAT)随便HOOK+反检测方法

cywsh

防IAT检测方法：IAT在指定目标文件的PE结构里面指定了的，我们把自己内存里面做了修改，没有修改目标文件，只要不让目标文件被其他文件映射，读取PE结构和我们内存中修改过的比较，保证能反一切IAT检测。

用法：

1. HookImage("ZwSetInformationFile",(DWORD)MyZwSetInformationFile);
   
2. HookImage("NtTerminateProcess",(DWORD)MyNtTerminateProcess);
   
3. HookImage("NtTerminateThread",(DWORD)MyNtTerminateThread);
   
4. HookImport("KERNEL32.DLL","ExitProcess",(DWORD)MyNtTerminateProcess);
   
5. RemoveImage("NtTerminateProcess");

复制代码

1. 
   
2. /********************************************
   
3. 挂钩目标程序kernel32.dll里面输入的ntdll.dll的函数
   
4. ********************************************/
   
5. DWORD HookImage(char *szName,DWORD Newfunc)
   
6. {
   
7.   HMODULE hMod=LoadLibrary("NTDLL");
   
8.   DWORD RealAddr=(DWORD)GetProcAddress(hMod,szName);
   
9.   UINT Size=0;
   
10.   hMod=LoadLibrary("kernel32.dll");
    
11.     PIMAGE_IMPORT_DESCRIPTOR pImport=(PIMAGE_IMPORT_DESCRIPTOR)ImageDirectoryEntryToData
    
12.                                                  (hMod,TRUE,IMAGE_DIRECTORY_ENTRY_IMPORT,&Size);                                             
    
13.     if(pImport==NULL)
    
14.     {
    
15.         return FALSE;
    
16.     }
    
17.     IMAGE_THUNK_DATA32 *Pthunk=(IMAGE_THUNK_DATA32*)((DWORD)hMod+pImport->FirstThunk);
    
18.     MEMORY_BASIC_INFORMATION mbi;
    
19.     VirtualQuery(Pthunk,&mbi,sizeof(MEMORY_BASIC_INFORMATION));
    
20.     VirtualProtect(mbi.BaseAddress,mbi.RegionSize,PAGE_READWRITE,&mbi.Protect);
    
21.   while(Pthunk->u1.Function)
    
22.   {
    
23.     if(RealAddr==Pthunk->u1.Function)
    
24.     {
    
25.       Pthunk->u1.Function=Newfunc;
    
26.       break;
    
27.     }
    
28.     Pthunk++;
    
29.   }
    
30.     DWORD protect;
    
31.     VirtualProtect(mbi.BaseAddress,mbi.RegionSize,mbi.Protect,&protect);
    
32.   return TRUE;
    
33. }
    
34. 
    
35. /********************************************
    
36. 挂钩目标程序输入表里面的函数
    
37. ********************************************/
    
38. DWORD HookImport(char *szDLL,char *szName,DWORD Newfunc)
    
39. {
    
40. 
    
41.   DWORD protect;
    
42.   UINT Size=0;
    
43.   HMODULE hMod=GetModuleHandle(NULL);
    
44.     MEMORY_BASIC_INFORMATION mbi;
    
45. 
    
46. 
    
47.     PIMAGE_IMPORT_DESCRIPTOR pImport=(PIMAGE_IMPORT_DESCRIPTOR)ImageDirectoryEntryToData
    
48.                                                          (hMod,TRUE,IMAGE_DIRECTORY_ENTRY_IMPORT,&Size);
    
49. ////改写内存保护，以便转换大小写
    
50.   VirtualQuery(pImport,&mbi,sizeof(MEMORY_BASIC_INFORMATION));
    
51.   VirtualProtect(mbi.BaseAddress,mbi.RegionSize,PAGE_READWRITE,&mbi.Protect);
    
52.     while(pImport->Name)
    
53.     {
    
54. 
    
55.         char *pszModName=(char*)((PBYTE)hMod+pImport->Name);
    
56.         if(_stricmp(pszModName,szDLL)==0)
    
57.         {
    
58.             break;
    
59.         }
    
60.         pImport++;
    
61.     }
    
62.   VirtualProtect(mbi.BaseAddress,mbi.RegionSize,mbi.Protect,&protect);
    
63. ////改写内存保护结束，改回原来的保护
    
64.     DWORD RealAddr=(DWORD)GetProcAddress(LoadLibrary(szDLL),szName);                           
    
65.     if(pImport==NULL)
    
66.     {
    
67.         return FALSE;
    
68.     }
    
69.     IMAGE_THUNK_DATA32 *Pthunk=(IMAGE_THUNK_DATA32*)((DWORD)hMod+pImport->FirstThunk);
    
70. ////改写内存保护，以便写入函数地址
    
71.     VirtualQuery(Pthunk,&mbi,sizeof(MEMORY_BASIC_INFORMATION));
    
72.     VirtualProtect(mbi.BaseAddress,mbi.RegionSize,PAGE_READWRITE,&mbi.Protect);
    
73.   while(Pthunk->u1.Function)
    
74.   {
    
75.     if(RealAddr==Pthunk->u1.Function)
    
76.     {
    
77.       Pthunk->u1.Function=Newfunc;
    
78.       break;
    
79.     }
    
80.     Pthunk++;
    
81.   }
    
82.     VirtualProtect(mbi.BaseAddress,mbi.RegionSize,mbi.Protect,&protect);
    
83. ////改写内存保护，改回原来的保护
    
84.   return TRUE;
    
85. }
    
86. 
    
87. /********************************************
    
88. 清除目标程序的ntdll的函数名字
    
89. ********************************************/
    
90. BOOL RemoveImage(char *szName)
    
91. {
    
92.   HMODULE hMod=LoadLibrary("kernel32.dll");
    
93.   UINT Size=0;
    
94.     PIMAGE_IMPORT_DESCRIPTOR pImport=(PIMAGE_IMPORT_DESCRIPTOR)ImageDirectoryEntryToData
    
95.                                                  (hMod,TRUE,IMAGE_DIRECTORY_ENTRY_IMPORT,&Size);
    
96.   DWORD *pName=(DWORD*)((DWORD)hMod+pImport->OriginalFirstThunk);
    
97.   while(pName)
    
98.   {
    
99.     char *pAddr=(char*)(*pName+(DWORD)hMod+2);
    
100.     if(!(strcmp(pAddr,szName)))
     
101.     {
     
102.         DWORD Protect;
     
103.       VirtualProtect(pAddr,strlen(pAddr),PAGE_READWRITE,&Protect);
     
104.       memset(pAddr,0,strlen(pAddr));
     
105.       VirtualProtect(pAddr,strlen(pAddr),Protect,pName);
     
106.       break;
     
107.     }
     
108.     pName++;
     
109.   }
     
110.   return TRUE;
     
111. }

复制代码