Главная страница
Top.Mail.Ru    Яндекс.Метрика
Текущий архив: 2006.05.28;
Скачать: CL | DM;

Вниз

Не работает перехват win api функции   Найти похожие ветки 

 
Dmitrij_K   (2006-03-07 15:13) [0]

Процедура замены
procedure ReplaceIATEntryInOneMod(const OldProc,
 NewProc: FARPROC);
var
 Size: DWORD;
 ImportEntry: PImageImportDescriptor;
 Thunk: PImageThunkData;
 Protect, newProtect: DWORD;
 DOSHeader: PImageDosHeader;
 NTHeader: PImageNtHeaders;
begin
 if OldProc = nil then Exit;
 if NewProc = nil then Exit;

  // Можно искать вот так
 ImportEntry := ImageDirectoryEntryToData(Pointer(hInstance), BOOL(1),
   IMAGE_DIRECTORY_ENTRY_IMPORT, Size);
 if ImportEntry <> nil then
 begin
   while ImportEntry^.Name <> 0 do
   begin
       Thunk := PImageThunkData(DWORD(hInstance) +
         DWORD(ImportEntry^.FirstThunk));
       while Thunk^._function <> nil do
       begin
         if (Thunk^._function = OldProc) then
         begin
           if not IsBadWritePtr(@Thunk^._function, sizeof(DWORD)) then
             Thunk^._function := NewProc
           else
           begin

             if VirtualProtect(@Thunk^._function, SizeOf(DWORD),
               PAGE_EXECUTE_READWRITE, Protect) then
             begin
               Thunk^._function := NewProc;
               newProtect := Protect;
               VirtualProtect(@Thunk^._function, SizeOf(DWORD),
                 newProtect, Protect);
             end;
           end;
           //Exit;
         end
         else
           Inc(PChar(Thunk), SizeOf(TImageThunkData32));
       end;
     ImportEntry := Pointer(Integer(ImportEntry) + SizeOf(TImageImportDescriptor));
   end;
 end;
end;



procedure SetAPIHook;
begin
 OldMessageBox :=
   GetProcAddress(GetModuleHandle("User32.dll"), "MessageBoxA");
 CurrentMessageBox := @HookMessageBox;
 ReplaceIATEntryInOneMod(OldMessageBox, CurrentMessageBox);
end;


С MessageBoxA работает нормально
а с GetProcAddress(GetModuleHandle(kernel32), "TerminateProcess")
не работает
те пе проходит устовие if (Thunk^._function = OldProc) then


 
Сергей М. ©   (2006-03-07 16:27) [1]

Т.входа в какую конкретно ф-цию перехватываешь-то ?


 
Dmitrij_K   (2006-03-07 16:41) [2]

Пытаюсь перехватить TerminateProcess из kernel32.dll


 
Dmitrij_K   (2006-03-08 15:25) [3]

Так и не нашел почему не работает.
Но зато нашел модулек madCodeHook www.madshi.net.


 
Сергей М. ©   (2006-03-09 08:27) [4]


> с GetProcAddress(GetModuleHandle(kernel32), "TerminateProcess")
> не работает


Все правильно. И не будет работать. Потому что ты модифицируешь IAT, а GetProcAddress() с IAT не работает - эта ф-ция получает интересующую т.входа из EAT



Страницы: 1 вся ветка

Текущий архив: 2006.05.28;
Скачать: CL | DM;

Наверх




Память: 0.48 MB
Время: 0.046 c
2-1147032712
Юнкер
2006-05-08 00:11
2006.05.28
record и MemoryStream


2-1147294991
Sergiony
2006-05-11 01:03
2006.05.28
новый тип


1-1144157193
DancerMan
2006-04-04 17:26
2006.05.28
TWebBrowser и динамически формируемая страничка


15-1146423589
Yanis
2006-04-30 22:59
2006.05.28
Какие могут быть траблы?


2-1147434529
Sergey17
2006-05-12 15:48
2006.05.28
Использование UPDATE SQL (Delphi 7)