一个R3下的APIHOOK 扫描工具(支持86-64)

一夜酒狂 · 发表于 2022-2-10 19:17

就简单的介绍一下工具的逻辑。
1.InlineHook 扫描逻辑： dump 进程下的所有dll包括自身。然后通过路径  把文件也dump下来。
接下来就是无聊而又痛苦的工作！！！
1.1 拉伸文件  到内存 IMAGE_SECTION_HEADER->VirtualAddress（为了避免混论：这一步的内存叫做 PeBuffer）
1.2 修复 PeBuffer 的 IAT表  流程：通过 PEbuffer -> ImageThunkData->u1(名字OR序号)    最终定位修改  PEbuffer ->FirstThunk->u1.Function
1.3 修复PeBuffer 的重定位表直接使用API    LdrProcessRelocationBlock（新基址(也就是PeBuffer)，SizeOfBlock，NextOffset，Diff）；
                  例如： Diff = GetModuleHandle(L"ntdll.dll") -  PIMAGE_NT_HEADERS->OptionalHeader.ImageBase

2.IAT Hook扫描逻辑  (这个最简单)  dump->IAT 和 PeBuffer ->IAT（注意这个你已经修复了  如 1.2描述）对比，直接得出结果

如果出现了程序崩溃的情况，bug，请联系我。
备注：扫微软dll,基本无敌。扫其他dll，萎了。

云盘：
链接：https://pan.baidu.com/s/1dejQNwq42FS6Cnn94no4Eg
提取码：6c47

ninianyin222kkk · 发表于 2022-5-30 16:20

楼主你好呀，我们最近在举办一场安全应用开发大赛，我是大赛负责人之一，我之前都有看你发的帖子，感觉是大佬~~，所以想邀请你参赛，请问可以聊一下吗~

一夜酒狂 · 发表于 2022-2-10 19:34

解压密码：52pojie

hwxq43 · 发表于 2022-2-12 06:20

提示: 作者被禁止或删除内容自动屏蔽

LHCAILGT · 发表于 2022-2-12 19:27

感谢分享实用软件。

ptmaliang · 发表于 2022-2-13 16:56

感谢分享

明镜天水 · 发表于 2022-2-14 07:24

这个非常不错啊

dfn19931208 · 发表于 2022-2-14 10:33

感谢分享好工具辛苦了谢谢你

15235109295 · 发表于 2022-2-16 09:01

感谢分享实用软件。

xiahhhr · 发表于 2022-2-16 09:10

实用工具，感谢分享啊！

tylerd006 · 发表于 2022-5-30 07:01

这个工具不错

帐号		自动登录	找回密码
密码			注册[Register]

hwxq43 hwxq43 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	hwxq43 发表于 2022-2-12 06:20 《站点帮助文档》有什么问题来这里看看吧，这里有你想知道的内容！提示: 作者被禁止或删除内容自动屏蔽
	呼吁大家发布原创作品添加吾爱破解论坛标识！
	回复支持举报

[原创工具] 一个R3下的APIHOOK 扫描工具(支持86-64)

免费评分