24、Windows代码注入与挂钩技术解析

Windows代码注入与挂钩技术解析

1. Windows API调用流程

Windows操作系统通过DLL中实现的API来提供服务，应用程序通过调用这些API来使用服务。大多数API函数最终会调用 ntoskrnl.exe （内核执行体）中的系统服务例程。下面以 WriteFile() API调用为例，详细介绍API调用流程：
1. 进程启动与线程创建 ：当双击程序启动进程时，Windows加载器会将进程可执行映像及其关联的所有DLL加载到进程内存中。进程启动时会创建主线程，线程从内存中读取可执行代码并开始执行。需要注意的是，执行代码的是线程而非进程，进程只是线程的容器。线程以用户模式（访问受限）开始执行，进程可根据需要显式创建额外线程。
2. 确定API地址 ：假设应用程序需要调用 kernel32.dll 导出的 WriteFile() API，线程要将执行控制权转移到 WriteFile() ，就必须知道其在内存中的地址。若应用程序导入了 WriteFile() ，可通过查看导入地址表（IAT）来确定其地址，该表位于应用程序的可执行映像中，Windows加载器在加载DLL时会将函数地址填充到该表中。应用程序也可在运行时通过调用 LoadLibrary() API加载DLL，并使用 GetProcessAddress() API确定加载的DLL中函数的地址，若在运行时加载DLL，IA