[求助]替换系统dll实现hook api-经典问答-看雪-安全社区|安全招聘|kanxue.com

最新回复 (9)
笨笨雄雪币： 846 活跃值： (221) 能力值： (RANK：570 ) 在线值：发帖 212 回帖 3620 粉丝 26 关注私信	笨笨雄 14 2 楼不是所有DLL都可以的 2008-1-24 11:30 0
kanxue 雪币： 58782 活跃值： (21926) 能力值： (RANK：350 ) 在线值：发帖 2384 回帖 17068 粉丝 615 关注私信	kanxue 8 3 楼 user32.dll，kernel32.dll等系统DLL好像不行的。你换其他DLL试试，如ws2_32.dll等 2008-1-24 11:32 0
kleverx 雪币： 204 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 12 粉丝 0 关注私信	kleverx 4 楼有什么限制呢我想hook到一个程序的writefile可以吗我想过修改导入表和跳转表,但无奈自己水平不够 2008-1-24 11:32 0
海风月影雪币： 7357 活跃值： (3878) 能力值： (RANK：1130 ) 在线值：发帖 93 回帖 2312 粉丝 125 关注私信	海风月影 22 5 楼除了ntdll.dll，kernel32.dll 其他的都行吧至少xp sp2是这样的具体细节可以去看看windows 核心编程里面的dll部分因为user32.dll不是那么随便就能替换掉的（绝对不是不能替换） 2008-1-24 11:34 0
kleverx 雪币： 204 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 12 粉丝 0 关注私信	kleverx 6 楼书里面讲到的方法是注如dll然后覆盖iat地址好象可是这程序一执行就开始操作,等不及注入啊,好象在create_suspend下注入也是不行的唯一的办法只能手工修改exe了 2008-1-24 11:37 0
海风月影雪币： 7357 活跃值： (3878) 能力值： (RANK：1130 ) 在线值：发帖 93 回帖 2312 粉丝 125 关注私信	海风月影 22 7 楼貌似很多人没看过USER32.DLL可以替换成本目录的放个图大家欣赏一下，没什么高深技术上传的附件： USER32.DLL.jpg.jpg （61.28kb，203次下载） 2008-1-24 11:44 0
kleverx 雪币： 204 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 12 粉丝 0 关注私信	kleverx 8 楼怎么做的,user32.dll和kernel32.dll有什么不同吗 kernel32.dll应该也行吧 2008-1-24 11:51 0
justlovemm 雪币： 208 活跃值： (40) 能力值： ( LV3，RANK：20 ) 在线值：发帖 33 回帖 605 粉丝 0 关注私信	justlovemm 9 楼其实用OD调入exe停在系统断点的时候就能大概明白，kernel32.dl和ntdll.dlll是在程序还没有初始化IAT表的时候就已经装入内存了，这应该是无法替换的。至于user32.dll是否能替换我也不清楚。不过上面的那个图也许就是为了对付老王的壳，先避过message的部分，使得epe无法注入而搞得高招吧。另外，一个纯console应用是不装入user32.dll得，楼主可以试试写各console程序，然后loadlibrary(user32.dll)试试，也许这样可以替换掉。 2008-1-24 17:25 0
海风月影雪币： 7357 活跃值： (3878) 能力值： (RANK：1130 ) 在线值：发帖 93 回帖 2312 粉丝 125 关注私信	海风月影 22 10 楼上面那个图是直接运行EPE得到的结果，没写代码，没开调试器所以说没什么高深的技术难道要放视频才相信 2008-1-24 17:51 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (9)
笨笨雄雪币： 846 活跃值： (221) 能力值： (RANK：570 ) 在线值：发帖 212 回帖 3620 粉丝 26 关注私信	笨笨雄 14 2 楼不是所有DLL都可以的 2008-1-24 11:30 0
kanxue 雪币： 58782 活跃值： (21926) 能力值： (RANK：350 ) 在线值：发帖 2384 回帖 17068 粉丝 615 关注私信	kanxue 8 3 楼 user32.dll，kernel32.dll等系统DLL好像不行的。你换其他DLL试试，如ws2_32.dll等 2008-1-24 11:32 0
kleverx 雪币： 204 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 12 粉丝 0 关注私信	kleverx 4 楼有什么限制呢我想hook到一个程序的writefile可以吗我想过修改导入表和跳转表,但无奈自己水平不够 2008-1-24 11:32 0
海风月影雪币： 7357 活跃值： (3878) 能力值： (RANK：1130 ) 在线值：发帖 93 回帖 2312 粉丝 125 关注私信	海风月影 22 5 楼除了ntdll.dll，kernel32.dll 其他的都行吧至少xp sp2是这样的具体细节可以去看看windows 核心编程里面的dll部分因为user32.dll不是那么随便就能替换掉的（绝对不是不能替换） 2008-1-24 11:34 0
kleverx 雪币： 204 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 12 粉丝 0 关注私信	kleverx 6 楼书里面讲到的方法是注如dll然后覆盖iat地址好象可是这程序一执行就开始操作,等不及注入啊,好象在create_suspend下注入也是不行的唯一的办法只能手工修改exe了 2008-1-24 11:37 0
海风月影雪币： 7357 活跃值： (3878) 能力值： (RANK：1130 ) 在线值：发帖 93 回帖 2312 粉丝 125 关注私信	海风月影 22 7 楼貌似很多人没看过USER32.DLL可以替换成本目录的放个图大家欣赏一下，没什么高深技术上传的附件： USER32.DLL.jpg.jpg （61.28kb，203次下载） 2008-1-24 11:44 0
kleverx 雪币： 204 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 12 粉丝 0 关注私信	kleverx 8 楼怎么做的,user32.dll和kernel32.dll有什么不同吗 kernel32.dll应该也行吧 2008-1-24 11:51 0
justlovemm 雪币： 208 活跃值： (40) 能力值： ( LV3，RANK：20 ) 在线值：发帖 33 回帖 605 粉丝 0 关注私信	justlovemm 9 楼其实用OD调入exe停在系统断点的时候就能大概明白，kernel32.dl和ntdll.dlll是在程序还没有初始化IAT表的时候就已经装入内存了，这应该是无法替换的。至于user32.dll是否能替换我也不清楚。不过上面的那个图也许就是为了对付老王的壳，先避过message的部分，使得epe无法注入而搞得高招吧。另外，一个纯console应用是不装入user32.dll得，楼主可以试试写各console程序，然后loadlibrary(user32.dll)试试，也许这样可以替换掉。 2008-1-24 17:25 0
海风月影雪币： 7357 活跃值： (3878) 能力值： (RANK：1130 ) 在线值：发帖 93 回帖 2312 粉丝 125 关注私信	海风月影 22 10 楼上面那个图是直接运行EPE得到的结果，没写代码，没开调试器所以说没什么高深的技术难道要放视频才相信 2008-1-24 17:51 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复