恶意代码分析系列-几种常用技术（2）

WINUSERAPIHHOOKWINAPI SetWindowsHookExA(    _In_ int idHook,        // 要安装的钩子的类型例如键盘 鼠标 对话框等    _In_ HOOKPROC lpfn,     // 一个指向钩子程序的指针    _In_opt_ HINSTANCE hmod,// 包含lpfn参数指向的钩子过程的DLL句柄    _In_ DWORD dwThreadId); // 与钩子程序相关联的线程标识符

BOOL UnhookWindowsHookEx(  HHOOK hhk);

// 表示将当前的钩子传递给钩子链中的下一个钩子LRESULTWINAPI CallNextHookEx(    _In_opt_ HHOOK hhk,    _In_ int nCode,    _In_ WPARAM wParam,    _In_ LPARAM lParam);

HANDLEWINAPI OpenProcess(    _In_ DWORD dwDesiredAccess,  // 访问进程对象    _In_ BOOL bInheritHandle,    // 若此值为true，则此进程创建的进程将继承该句柄    _In_ DWORD dwProcessId       // 要打开的本地进程的PID    );// 返回值：若成功返回句柄，失败返回NULL

LPVOIDWINAPIVirtualAllocEx(    _In_ HANDLE hProcess,      // 进程句柄    _In_opt_ LPVOID lpAddress, // 指定要分配页面所需的起始指针，为NULL自动分配    _In_ SIZE_T dwSize,        // 要分配内存的大小    _In_ DWORD flAllocationType, // 内存分配的类型：保留、提交和更改    _In_ DWORD flProtect         // 页面区域的内存保护    );// 返回值：函数成功返回分配的基址，失败返回NULL

BOOLWINAPI WriteProcessMemory(    _In_ HANDLE hProcess,   // 要修改的进程句柄    _In_ LPVOID lpBaseAddress, // 指向指定进程中写入数据的基地址指针    _In_reads_bytes_(nSize) LPCVOID lpBuffer, // 指向缓冲区的指针    _In_ SIZE_T nSize,    // 要写入指定进程的字节数    _Out_opt_ SIZE_T* lpNumberOfBytesWritten  // 指向变量的指针，该变量接收传输到指定进程的字节数    );// 返回值：函数成功 != 0;失败返回0 // 注意：写入区域的内存要可访问，否则操作失败

HANDLEWINAPI CreateRemoteThread(    _In_ HANDLE hProcess,   // 要创建线程的进程的句柄    _In_opt_ LPSECURITY_ATTRIBUTES lpThreadAttributes,        // 指向安全描述符的指针    _In_ SIZE_T dwStackSize,  // 堆栈的初始大小，若为0则新线程使用可执行文件的默认大小    _In_ LPTHREAD_START_ROUTINE lpStartAddress,        // 指向由线程执行类型为LPTHREAD_START_ROUTINE的应用程序定义的函数指针，并表示远程进程 中线程的起始地址，该函数必须存在于远程进程中    _In_opt_ LPVOID lpParameter,  // 要传递给线程函数的变量的指针    _In_ DWORD dwCreationFlags,   // 控制线程创建的标志    _Out_opt_ LPDWORD lpThreadId  // 接收线程标志符变量的指针    );// 返回值：成功 新线程的句柄，失败：返回NULL

WINBASEAPIDWORD WINAPI QueueUserAPC(    _In_ PAPCFUNC pfnAPC,  // 指向APC函数的指针    _In_ HANDLE hThread,   // 线程句柄    _In_ ULONG_PTR dwData  // 由pfnAPC参数指向的APC函数的单个值    );// 返回值 成功非0；失败返回0 

void OnHook() {       //获取函数实际地址        HMODULE Module = GetModuleHandleA("kernel32.dll");        LPVOID func = GetProcAddress(Module, "OpenProcess");    //保存5个字节        memcpy(g_oldCode, func, 5);    //修改内存分页属性，由于代码段是不可写的，所有必须先将它的属性变成可写        DWORD dwProtect;        VirtualProtect(func, 5, PAGE_EXECUTE_READWRITE, &dwProtect);        //计算跳转偏移    *(DWORD*)&g_newCode[1] = (DWORD)MyOpenProcess - (DWORD)func - 5;        //修改目标地址     memcpy(func, g_newCode, 5);        //还原内存分页属性        VirtualProtect(func, 5, dwProtect, &dwProtect); };

//获取指定dll导出地址表的中函数地址 DWORD * GetIatAddress(const char * dllName, const char* funName) {        // 1. 获取加载基址并转换成DOS头        auto DosHeader = (PIMAGE_DOS_HEADER)GetModuleHandle(NULL);    // 2. 通过 DOS 头的后一个字段 e_lfanew 找到 NT 头的偏移        auto NtHeader = (PIMAGE_NT_HEADERS)(DosHeader->e_lfanew + (DWORD)DosHeader);    // 3. 在数据目录表下标为[1]的地方找到导入表的RVA        DWORD ImpRVA = NtHeader->OptionalHeader.DataDirectory[1].VirtualAddress;    // 4. 获取到导入表结构体，因为程序已经运行了，所以不需要转FOA        auto ImpTable = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)DosHeader + ImpRVA);    // 遍历导入表，以一组全0的结构结尾        while (ImpTable->Name)      {                // 获取当前导入表结构描述的结构体的名称                CHAR* Name = (CHAR*)(ImpTable->Name + (DWORD)DosHeader);        // 忽略大小写进行比较，查看是否是需要的导入表结构                if (!_stricmp(Name, dllName))                {                        // 找到对应的 INT 表以及 IAT 表                        DWORD* IntTable = (DWORD*)((DWORD)DosHeader + ImpTable->OriginalFirstThunk);                        DWORD* IatTable = (DWORD*)((DWORD)DosHeader + ImpTable->FirstThunk);                        // 遍历所有的函数名称，包括有/没有名称                        for (int i = 0; IntTable[i] != 0; ++i)                        {                                // 比对函数是否存在函数名称表中                                if ((IntTable[i] & 0x80000000) == 0)                                {                                        // 获取到导入名称结构                                        auto Name = (PIMAGE_IMPORT_BY_NAME)((DWORD)DosHeader + IntTable[i]);                    // 比对函数的名称                                        if (!strcmp(funName, Name->Name))                                        {                                                // 返回函数在IAT中保存的地址                                                return &IatTable[i];                                        }                                }                        }                }                ImpTable++;        }        return 0; }