创建时间：2005-05-10文章属性：原创文章提交：LionD8 (liond8_at_126.com)内核级利用通用Hook函数方法检测进程作者：    LionD8QQ：    10415468Email： LionD8@126.comBlog：    http://blog.youkuaiyun.com/LionD8     or http://liond8.126.com介绍通用Hook的一点思想：

下载源代码 - 22 Kb　　对于如何使用和创建钩子有许多的争议，这篇文章试图澄清这些问题。　　注意：如果你只是在自己的进程内使用钩子则不会有下面的问题， 这只发生在你使用系统钩子的时候。关键问题在于 地址空间，DLL函数中的代码所创建的任何对象（包括变量）都归调用它的线程或进程所有。当进程在载入DLL时，操作系统自动把DLL地址映射到该进程的私有空间，也就是进程的虚拟地址空间，而

下面就说说API Hook的原理、实现以及自己的分析和实际运用中的问题。    一、什么是API Hook    见下图所示，API Hook就是对API的正常调用起一个拦截或中间层的作用，这样可以在调用正常的API之前得到控制权，执行自己的代码。其中Module指映射到内存中的可执行文件或DLL。      module0    module1 |       |CALL modul

汇编ring3下实现HOOK API 收藏 导读： 　　标 题:汇编ring3下实现HOOK API【原创】 　　作 者:非安全 　　时 间:2006-07-12,18:39 　　链 接:http://bbs.pediy.com/showthread.php?t=28895 　　汇编ring3下实现HOOK API(二次修改版) 　　【文章标题】汇编ring3下实现HOOK API 　　【文章作者

      在windows中,通常只有很少的方法能够中断一些系统事件.我们首先考虑的机制是一个hook,因为微软给hook提供了全面的支持,它也存在于系统中,这样他能够中断某种事件.假如hook部工作的话,那么我考虑API hook. 微软并不想正式的支持API hook,所以如果可能的话,我会尽量的避免使用API hook.幸运的是,这个特别的问题可以通过设置hook来解决.在window N

       首先我们来看看为什么要在内存中搜索 Api 的线性地址。我们知道，一个 PE 文件在编译和连接成功后，会有一个 import table ，当需要执行 Api 的时候，会先在 import table 中得到 Api 的地址，然后调用它。这在一般的情况下是足以应付要求的了，可是当有病毒插入宿主的时候，情况就不同了——病毒是在 PE 文件编译好之后才插入的，它本身没有 import

覆盖地址HOOK API范例代码作者:Gxter     时间:2008-06-17 09:11:44前天看到kruglinski的一段程序，我看了一下今天花了一下午的时间来自己实现了一个。不过我的没有用动态地址的方法，而是自己去写了静态的地址到里面灵活性没有他的大不过功能上面还是差不多的。下面我简单讲一下我的原理。跳转的具体原理就是用两句汇编句：  mov eax , 123

挂钩API技术(HOOK API)      Hook api 是指截获特定进程或系统对某个API函数的调用，使得API的执行流程转向指定的代码。例如，在挂钩了系统对user32.dll模块中MessageBoxA函数的调用以后，每当有应用程序调用MessageBoxA函数，调用线程都会执行提供的代码，而不去执行真正的MessageBoxA api函数。      Windows 下的应用程序都建

                                       今天终于有了一个小小的进步就算是自己的努力来完成的，没想到HOOK其他进程的API原来这样的简单。其实就是两个关键的技术（HOOK-API和远程线程注入）。HOOK是一种WINDOWS下存在很久的技术了。 HOOK一般分两种1。HOOK MESSAGE 2。HOOK API 本问讨论的是HOOK API。（如果你

      什么叫Hook API？所谓Hook就是钩子的意思，而API是指 Windows开放给程序员的编程接口，使得在用户级别下可以对操作系统进行控制，也就是一般的应用程序都需要调用API来完成某些功能， Hook API的意思就是在这些应用程序调用真正的系统API前可以先被截获，从而进行一些处理再调用真正的API来完成功能。在讲Hook API之 前先来看一下如何Hook消息，例如Hook全

什么是HOOK API：       Windows下暴露的对开发人员的接口叫做应用程序编程接口，就是我们常说的API。我们在写应用层应用程序软件的时候都是通过调用各种API来实现的。有些时候，我们需要监控其他程序调用的API，也就是，当其他应用程序调用我们感兴趣的API的时候，我们在他调用前有一个机会做自己的处理，这就是HOOK API的涵义。  思路：       我们知道Wi

提示: 如果要设置系统级（全局）钩子, 钩子函数必须封装在 DLL 中. HHOOK hmyHook = {返回钩子的句柄; 0 表示失败}SetWindowsHookEx( int idHook, {钩子类型} HOOKPROC lpfn, {函数指针} HINSTANCE hMod, {包含钩子函数的模块(EXE、DLL)句柄; 一