IAT hook与inline hook的区别

IAT hook

导入表hook原理：修改导入表中某函数的地址到自己的补丁函数。IATHook

1. 通过GetProcAddress获取目标函数地址
2. 在程序内存中找到所在dll的导入表
3. 查找目标函数地址保存的位置
4. 把地址修改为自己补丁函数

问题：当该函数递归调用时，不会被hook
为解决这个问题，可以使用inline hook

inline hook

需要一个代理函数ProxyFunction，调用Function时候，会跳转到代理函数，代理函数执行的最后要执行一个与目标函数一样定义的执行函数OriginalFunnction,这个函数执行的shell code代码。`

//hook 函数Function
typedef HANDLE(WINAPI * PFunction)(_In_ LPCWSTR lpXXX, _In_ DWORD dwXXX);
__declspec(naked)  void OriginalFunction()
{
	_asm
	{
		_emit 0x90;
		_emit 0x90;
		_emit 0x90;
		jmp NextInstructionAddress;//此地址存放真正的Function函数地址
	}
}
HANDLE WINAPI ProxyFuntion(_In_ LPCWSTR lpXXX, _In_ DWORD dwXXX)
{
	//excute your process
	OutputDebugStringW(L"ProxyFunnction");
	HANDLE ret = (pFunction)OriginalFunction(lpFileName,dwData);
	return ret;
}

定义了代理函数和执行函数之后，需要在主函数中建立整个钩子环路。具体原理如下：参见雪花论坛inline hook。