请教一个关于apihook的问题

白额吊睛大虫

看完苏紫方璇版主写的apihook工具的帖子，顺便把源码也草看了一遍，有一个问题：比如说我在一进程查找到kernel32.dll的apihook，为什么只在本进程查找到，其他进程没有hook，不是说dll在内存中只有一份吗？不同进程只是映射了那一份dll吗？
比如qqprotect的ntdll.dll被hook了，但是firefox的ntdll.dll却没有被hook 这是怎么回事

你与明日

你都知道"不同进程只是映射了那一份"

APIHOOK改的就是映射的那一份

白额吊睛大虫

你与明日 发表于 2019-8-1 10:33
你都知道"不同进程只是映射了那一份"

APIHOOK改的就是映射的那一份

你的意思是映射的那部分需要单独占用物理内存是吗？
我以为映射进来的部分和其他的进程中映射的部分都在同一块物理内存中呢，不知道哪种理解对

你与明日

白额吊睛大虫 发表于 2019-8-1 13:34
你的意思是映射的那部分需要单独占用物理内存是吗？
我以为映射进来的部分和其他的进程中映射的部分都在 ...

是的,你自己应该发现了每个函数在不重启的时候,他们的地址都是一样的,系统是单独给一份内存给其他进程,每个进程内的数据互不影响,你HOOK也就只是HOOK一个进程的,其他的并不会被修改

白额吊睛大虫

你与明日 发表于 2019-8-1 14:56
是的,你自己应该发现了每个函数在不重启的时候,他们的地址都是一样的,系统是单独给一份内存给其他进程,每 ...

确定dll在每个进程中都是单独一份了。
不重启的时候  --这句话不理解，是x64dbg或者od重新运行的意思吗？od重新运行内存分布确实是没变化 也不知道为什么，

你与明日

白额吊睛大虫 发表于 2019-8-1 17:02
确定dll在每个进程中都是单独一份了。
不重启的时候  --这句话不理解，是x64dbg或者od重新运行的意思吗 ...

重启电脑....

白额吊睛大虫

你与明日 发表于 2019-8-1 19:24
重启电脑....

谢谢帮我解答疑惑