lixiangminghate的专栏

IntroductionRecently I came across the description of a quite interesting security product, calledSanctuary. This product prevents execution of any program that does not appear on the list of soft

博文篇首要感谢我的同事zxb，他曾经提示我有这种简便的截获方法。    近期要做Linux下libvirt事件审计，原计划是分析libvirt的通信数据从而进一步分析libvirt事件。尼玛，这怎么看都觉得工作量浩大，第一反应就是能不能偷懒。对于一般的审计事件，首先想到的是函数截获:遍历ELF文件的导出函数，然后替换之。顺带一提，现在安卓上的进程注入就这么做的，哪天有空了我也放一篇Linux

原文转自:http://www.cnblogs.com/AniX/archive/2010/10/26/1861693.html  代码部分我做过整理说道API HOOK ，这已经是老掉牙的技术了，但是它的实用性却是不能忽视的。虽然在网上这类的文章很多，但大多数的实现方法是将一个函数的前5字节直接改为 jmp XXXX 。这种方法虽然简单可行，但是不通用，因为一些特殊函数的前5字节不是完整

#include "stdafx.h"#include #include #pragma comment(lib,"user32.lib")typedef int (*detour_MessageBoxA)(HWND hWnd,LPCSTR,LPCSTR,UINT);detour_MessageBoxA msg;char origInstr[8] = {0};char newIn