windows-API劫持（API-HOOK）

API Hook

    ApiHook又叫做API劫持，也就是如果A程序调用了B.cll里面的C函数，我们可以做到当A调用C函数执行的时候，直接执行我们自己事先准备好的函数，之后我们在执行真正的C，当然我们可以不执行C或者更改C的参数等等，实现的核心思路就是：

                                           mov eax, pNewAddr[/size][size=3] jmp eax

    解释下具体原理：我们首先获取要劫持函数的地址，然后我们在自己组装一个数据结构，数据结构的内容是 执行汇编：把新函数地址拷到寄存器里，然后再jmp到新函数地址位置执行新函数，然后我们把自己组装这个数据结构拷贝到之前获取的需要劫持的函数地址指向的内存的位置，这样当我们再次调用该函数的时候，程序走到函数地址处发现是执行我们刚刚写好的汇编命令，直接jmp到了我们自己定义的函数地址的位置，也就相当于直接运行了我们自己写好的函数地址了，当然自己写的函数必须要和原函数参数和返回值一样，自己写的函数里面也可以调用原函数（达到过滤的目的），但是前提是调用之前要先关闭劫持，也就是把我们替换的内容给人家替换回去，执行完之后再次替换我们的地址，如果不替换回去我们就会进入无限递归了这个不解释，当然我们也可以修改参数什么的，给调用者进行一个“加工”。还有就是刚开始看的时候有一个地方不理解就是：DLL注入能成功的原理是，某些系统DLL里面的函数所有程序调用都会执行同一个地址，而APIHook中有一步是更改函数地址，但是如果我们更改了某些公用的函数地址，那么并不会影响其他的程序继续调用，这个地方小纠结了一会，后来弄清楚了，A加载了系统B.DLL获取里面的API函数C, A2也同样加载并且获取了里面的API函数C2,C和C2是相等的（当然并不是所有都相等），但是我们在A程序里进行C函数的Hook，并没有影响A2的调用，原因是他们只是指向同一个地址不是就是同一个地址，可以理解成是中间有过度变量。我们修改的只是自己内存那部分”本分而已”，这样的话，我们想要Hook某个继承的某些API的话通常可以采取DLL注入的方式，DLL注入之前我总结过并且上传过相关的实现代码。这里不解释。然后就是在网上找到了一个写的不错的APIHook的代码，分享下