考试大学习教室[详谈HOOKAPI的技术
添加时间: 2008-2-24 11:43:51 作者: Cisco指导 阅读次数:45 来源: http://www.d9soft.com
pushad
//在这里做你想做的事情
popad
jmp 71A21230 //跳转到原CALL指令的目标地址，原指令是这样的：call 71A21230
这种方法隐蔽性很好，但是比较难找这条5字节的CALL指令，计算相对地址也复杂。
4.替换71A21AFE地址上的cmp dword ptr [71A3201C]， 71A21C93指令（机器码：813D1C20A371931CA271，10字节）成为 call 71A20400
nop
nop
nop
nop
nop
（机器码：E8 XX XX XX XX 90 90 90 90 90，10字节）
在71A20400的HOOK代码是： pushad
mov edx，71A3201Ch //模拟原指令cmp dword ptr [71A3201C]， 71A21C93
cmp dword ptr [edx]，71A21C93h //模拟原指令cmp dword ptr [71A3201C]， 71A21C93
pushfd //在这里做你想做的事
popfd
popad
ret
这种方法隐蔽性最好，但不是每个API都有这样的指令，要具体情况具体操作。
以上几种方法是常用的方法，值得一提的是很多人都是改API开头的5个字节，但是现在很多杀毒软件用这样的方法 检查 API是否被HOOK，或其他病毒木马在你之后又改了前5个字节，这样就会互相覆盖，最后一个HOOK API的操作才是有效的，所以提倡用第3和第4种方法。
考试大学习教室[详谈HOOKAPI的技术(2) 第 [1] [2] 下一页
上一篇文章: 校园网安全与风险一级戒备 下一篇文章: 考试大学习教室[CISCO认证资讯