设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [18559] 2021-05-07_红队IATHook技术实现
返回列表 发新帖
查看: 3|回复: 0

[18559] 2021-05-07_红队IATHook技术实现

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-05-07_红队IATHook技术实现 红 队   |   I A T   H o o k 技 术 实 现 原 创   B u f f e r   H A C K 学 习 呀   2 0 2 1 - 0 5 - 0 7 H O O K 1 . 监 控 2 . 行 为 改 变 改 变 执 行 流 , 让 函 数 先 到 我 这 里 , 获 得 优 先 执 行 权 思 路 思 路 导 入 表 中 有 个 I A T 表 , 在 导 入 表 结 构 中 的 F i r s t T h u n k . 在 调 用 一 些 A P I 时 , 只 要 是 L o a d L i b r a r y 的 d l l , 其 中 的 A P I 都 会 在 I A T 表 中 , 我 们 可 以 通 过 I A T 表 来 寻 找 我 们 想 要 " 了 解 " 的 函 数 , 并 对 其 进 行 操 作 , 比 如 将 这 个 A P I 替 换 成 自 己 的 函 数 , 但 是 注 意 参 数 要 相 同 , 不 然 栈 平 衡 不 了 。   我 这 里 用 简 单 的 M e s s a g e B o x 来 说 明 I A T   H O O K 问 题 S e t H o o k   D W O R D   S e t I A T H o o k ( D W O R D   O l d A d d r , D W O R D   N e w A d d r )     / / o l d A d d r 是 原 地 址 , N e w A d d r 是 我 们 自 己 的 函 数   {           D W O R D   d w I m a g e B a s e   =   0 ;           P I M A G E _ D O S _ H E A D E R   p D o s H e a d e r ;           P I M A G E _ N T _ H E A D E R S   p N T H e a d e r   =   N U L L ;           P I M A G E _ F I L E _ H E A D E R   p P E H e a d e r   =   N U L L ;           P I M A G E _ O P T I O N A L _ H E A D E R 3 2   p O p t i o n H e a d e r   =   N U L L ;           P I M A G E _ S E C T I O N _ H E A D E R   p S e c t i o n H e a d e r   =   N U L L ;           P I M A G E _ I M P O R T _ D E S C R I P T O R   p I m p o r t   =   N U L L ;           P D W O R D   p I A T T h u n k   =   N U L L ;           D W O R D   o l d P r o t e c t e d   =   0 ;           b o o l   F l a g   =   F A L S E ;           d w I m a g e B a s e   =   ( D W O R D ) : : G e t M o d u l e H a n d l e ( N U L L ) ;       / / 获 取 进 程 基 址           p D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) d w I m a g e B a s e ;           p N T H e a d e r   =   ( P I M A G E _ N T _ H E A D E R S ) ( ( D W O R D ) p D o s H e a d e r   +   p D o s H e a d e r - > e _ l f a n e w ) ;           p P E H e a d e r   =   ( P I M A G E _ F I L E _ H E A D E R ) ( ( D W O R D ) p N T H e a d e r   +   4 ) ;           p O p t i o n H e a d e r   =   ( P I M A G E _ O P T I O N A L _ H E A D E R 3 2 ) ( ( D W O R D ) p P E H e a d e r   +   I M A G E _ S I Z E O F _ F I L E _ H E A D E R ) ;           p I m p o r t   =   ( P I M A G E _ I M P O R T _ D E S C R I P T O R ) ( p O p t i o n H e a d e r - > D a t a D i r e c t o r y [ 1 ] . V i r t u a l A d d r e s s   +   d w I m a g e B a s e ) ;     / / 定 位 导 入 表 0               / / 定 位 I A T 表           w h i l e   ( p I m p o r t - > F i r s t T h u n k   ! =   0   & &   F l a g   = =   F A L S E )           {                   p I A T T h u n k   =   ( P D W O R D ) ( p I m p o r t - > F i r s t T h u n k   +   d w I m a g e B a s e ) ;                   p r i n t f ( " % s n " ,   d w I m a g e B a s e   +   p I m p o r t - > N a m e ) ;                   w h i l e   ( * p I A T T h u n k )                   {
大 体 就 是 获 取 基 址 , 定 位 导 入 表 , I A T 表 , 找 到 目 标 A P I , 用 我 们 自 己 的 函 数 地 址 替 换 原 来 A P I 函 数 地 址 有 一 个 关 键 的 地 方 , 3 0 行 需 要 改 变 可 写 属 性 , 因 为 3 1 行 那 个 位 置 是 不 能 写 入 的 ( 0 x c 0 0 0 0 0 0 5 ) , V i r t u a l P r o t e c t 然 后 最 后 一 个 参 数 必 须 要 有 值 , 不 能 是 N U L L , 主 要 这 个 细 节 卡 了 一 下 获 取 获 取 O l d A d d r U n S e t H o o k                   {                           i f   ( * p I A T T h u n k   = =   O l d A d d r )                           {                                   V i r t u a l P r o t e c t ( p I A T T h u n k ,   0 x 1 0 0 0 ,   P A G E _ E X E C U T E _ R E A D W R I T E ,   & o l d P r o t e c t e d ) ;                                   * p I A T T h u n k   =   N e w A d d r ;                                   F l a g   =   T R U E ;                                   p r i n t f ( " H o o k 成 功 ! n " ) ;                                       b r e a k ;                           }                           p r i n t f ( " % x n " ,   p I A T T h u n k ) ;                           p I A T T h u n k + + ;                   }                   p I m p o r t + + ;           }           r e t u r n   F l a g ;   } D W O R D   O l d F u n c   =   ( D W O R D ) : : G e t P r o c A d d r e s s ( L o a d L i b r a r y ( L " U S E R 3 2 . d l l " ) ,   " M e s s a g e B o x W " ) ;   D W O R D   U n S e t I A T H o o k ( D W O R D   O l d A d d r ,   D W O R D   N e w A d d r )   {           D W O R D   d w I m a g e B a s e   =   0 ;           P I M A G E _ D O S _ H E A D E R   p D o s H e a d e r ;           P I M A G E _ N T _ H E A D E R S   p N T H e a d e r   =   N U L L ;           P I M A G E _ F I L E _ H E A D E R   p P E H e a d e r   =   N U L L ;           P I M A G E _ O P T I O N A L _ H E A D E R 3 2   p O p t i o n H e a d e r   =   N U L L ;           P I M A G E _ S E C T I O N _ H E A D E R   p S e c t i o n H e a d e r   =   N U L L ;           P I M A G E _ I M P O R T _ D E S C R I P T O R   p I m p o r t   =   N U L L ;           P D W O R D   p I A T T h u n k   =   N U L L ;           b o o l   F l a g   =   F A L S E ;           d w I m a g e B a s e   =   ( D W O R D ) : : G e t M o d u l e H a n d l e ( N U L L ) ;       / / 获 取 进 程 基 址           p D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) d w I m a g e B a s e ;           p N T H e a d e r   =   ( P I M A G E _ N T _ H E A D E R S ) ( ( D W O R D ) p D o s H e a d e r   +   p D o s H e a d e r - > e _ l f a n e w ) ;           p P E H e a d e r   =   ( P I M A G E _ F I L E _ H E A D E R ) ( ( D W O R D ) p N T H e a d e r   +   4 ) ;           p O p t i o n H e a d e r   =   ( P I M A G E _ O P T I O N A L _ H E A D E R 3 2 ) ( ( D W O R D ) p P E H e a d e r   +   I M A G E _ S I Z E O F _ F I L E _ H E A D E R ) ;           p I m p o r t   =   ( P I M A G E _ I M P O R T _ D E S C R I P T O R ) ( p O p t i o n H e a d e r - > D a t a D i r e c t o r y [ 1 ] . V i r t u a l A d d r e s s   +   d w I m a g e B a s e ) ;     / / 定 位 导 入 表           w h i l e   ( p I m p o r t - > F i r s t T h u n k   ! =   0   & &   F l a g   = =   F A L S E )           {                   p I A T T h u n k   =   ( P D W O R D ) ( p I m p o r t - > F i r s t T h u n k   +   d w I m a g e B a s e ) ;                   w h i l e   ( * p I A T T h u n k )                   {                           i f   ( * p I A T T h u n k   = =   N e w A d d r )                           {                                   * p I A T T h u n k   =   O l d A d d r ;                                     F l a g   =   T R U E ;                                   b r e a k ;                           }                           p I A T T h u n k + + ;                   }                   p I m p o r t + + ;           }
达 到 目 的 后 要 恢 复 原 来 的 函 数 自 己 希 望 执 行 的 函 数 自 己 希 望 执 行 的 函 数 参 数 一 传 进 来 , 我 们 就 可 以 接 收 , 其 实 还 可 以 改 变 参 数 等 等 , 这 里 必 须 要 定 义 函 数 指 针 , 因 为 原 来 的 M e s s a g e B o x 那 个 地 址 已 经 被 我 们 改 了 , 如 果 又 使 用 A P I   M e s s a g e B o x 的 话 ( 像 我 注 释 的 那 行 ) , 会 进 入 死 循 环 , 我 们 想 得 到 参 数 又 不 想 干 扰 原 来 的 功 能 , 所 以 定 义 一 个 函 数 指 针 来 调 用 原 来 那 个 " O l d A d d r " 即 M e s s a g e B o x 的 地 址 测 试 代 码 测 试 代 码 测 试 结 果 测 试 结 果           r e t u r n   F l a g ;   }   i n t   W I N A P I   M y M e s s a g e B o x W ( H W N D   h W n d ,   L P C W S T R   l p T e x t ,   L P C W S T R   l p C a p t i o n ,   U I N T   u T y p e )   {           p r i n t f ( " % x     % s         % w s       % x n " ,   h W n d ,   l p T e x t ,   l p C a p t i o n ,   u T y p e ) ;           t y p e d e f   i n t   ( W I N A P I *   p M e s s a g e B o x ) ( H W N D ,   L P C W S T R ,   L P C W S T R ,   U I N T ) ;           / / i n t   r e t   =   M e s s a g e B o x ( h W n d ,   l p T e x t ,   l p C a p t i o n ,   u T y p e ) ;           i n t   r e t   =   ( ( p M e s s a g e B o x ) O l d F u n c ) ( h W n d ,   l p T e x t ,   l p C a p t i o n ,   u T y p e ) ;           p r i n t f ( " 返 回 值 % x " ,   r e t ) ;           r e t u r n   r e t ;   } i n t   T e s t I A T H O O K ( ) { S e t I A T H o o k ( O l d F u n c ,   ( D W O R D ) M y M e s s a g e B o x W ) ; M e s s a g e B o x ( N U L L ,   L " H E L L O " ,   L " H A C K E R " ,   M B _ O K ) ; U n S e t I A T H o o k ( O l d F u n c ,   ( D W O R D ) M y M e s s a g e B o x W ) ; r e t u r n   1 ; }
    完 整 代 码 完 整 代 码 / /   I A T H O O K . c p p   :   此 文 件 包 含   " m a i n "   函 数 。 程 序 执 行 将 在 此 处 开 始 并 结 束 。 # i n c l u d e   < i o s t r e a m > # i n c l u d e   < w i n d o w s . h > D W O R D   O l d F u n c   =   ( D W O R D ) : : G e t P r o c A d d r e s s ( L o a d L i b r a r y ( L " U S E R 3 2 . d l l " ) ,   " M e s s a g e B o x W " ) ; D W O R D   S e t I A T H o o k ( D W O R D   O l d A d d r , D W O R D   N e w A d d r ) { D W O R D   d w I m a g e B a s e   =   0 ; P I M A G E _ D O S _ H E A D E R   p D o s H e a d e r ; P I M A G E _ N T _ H E A D E R S   p N T H e a d e r   =   N U L L ; P I M A G E _ F I L E _ H E A D E R   p P E H e a d e r   =   N U L L ; P I M A G E _ O P T I O N A L _ H E A D E R 3 2   p O p t i o n H e a d e r   =   N U L L ; P I M A G E _ S E C T I O N _ H E A D E R   p S e c t i o n H e a d e r   =   N U L L ; P I M A G E _ I M P O R T _ D E S C R I P T O R   p I m p o r t   =   N U L L ; P D W O R D   p I A T T h u n k   =   N U L L ; D W O R D   o l d P r o t e c t e d   =   0 ; b o o l   F l a g   =   F A L S E ; d w I m a g e B a s e   =   ( D W O R D ) : : G e t M o d u l e H a n d l e ( N U L L ) ;       / / 获 取 进 程 基 址 p D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) d w I m a g e B a s e ; p N T H e a d e r   =   ( P I M A G E _ N T _ H E A D E R S ) ( ( D W O R D ) p D o s H e a d e r   +   p D o s H e a d e r - > e _ l f a n e w ) ; p P E H e a d e r   =   ( P I M A G E _ F I L E _ H E A D E R ) ( ( D W O R D ) p N T H e a d e r   +   4 ) ; p O p t i o n H e a d e r   =   ( P I M A G E _ O P T I O N A L _ H E A D E R 3 2 ) ( ( D W O R D ) p P E H e a d e r   +   I M A G E _ S I Z E O F _ F I L E _ H E A D E R ) ; p I m p o r t   =   ( P I M A G E _ I M P O R T _ D E S C R I P T O R ) ( p O p t i o n H e a d e r - > D a t a D i r e c t o r y [ 1 ] . V i r t u a l A d d r e s s   +   d w I m a g e B a s e ) ;     / / 定 位 导 入 表 / / 定 位 I A T 表 w h i l e   ( p I m p o r t - > F i r s t T h u n k   ! =   0   & &   F l a g   = =   F A L S E ) { p I A T T h u n k   =   ( P D W O R D ) ( p I m p o r t - > F i r s t T h u n k   +   d w I m a g e B a s e ) ; w h i l e   ( * p I A T T h u n k )
w h i l e   ( * p I A T T h u n k ) { i f   ( * p I A T T h u n k   = =   O l d A d d r ) { V i r t u a l P r o t e c t ( p I A T T h u n k ,   0 x 1 0 0 0 ,   P A G E _ E X E C U T E _ R E A D W R I T E ,   & o l d P r o t e c t e d ) ; * p I A T T h u n k   =   N e w A d d r ; F l a g   =   T R U E ; p r i n t f ( " H o o k 成 功 ! n " ) ; b r e a k ; } p I A T T h u n k + + ; } p I m p o r t + + ; } r e t u r n   F l a g ; } D W O R D   U n S e t I A T H o o k ( D W O R D   O l d A d d r ,   D W O R D   N e w A d d r ) { D W O R D   d w I m a g e B a s e   =   0 ; P I M A G E _ D O S _ H E A D E R   p D o s H e a d e r ; P I M A G E _ N T _ H E A D E R S   p N T H e a d e r   =   N U L L ; P I M A G E _ F I L E _ H E A D E R   p P E H e a d e r   =   N U L L ; P I M A G E _ O P T I O N A L _ H E A D E R 3 2   p O p t i o n H e a d e r   =   N U L L ; P I M A G E _ S E C T I O N _ H E A D E R   p S e c t i o n H e a d e r   =   N U L L ; P I M A G E _ I M P O R T _ D E S C R I P T O R   p I m p o r t   =   N U L L ; P D W O R D   p I A T T h u n k   =   N U L L ; b o o l   F l a g   =   F A L S E ; d w I m a g e B a s e   =   ( D W O R D ) : : G e t M o d u l e H a n d l e ( N U L L ) ;       / / 获 取 进 程 基 址 p D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) d w I m a g e B a s e ; p N T H e a d e r   =   ( P I M A G E _ N T _ H E A D E R S ) ( ( D W O R D ) p D o s H e a d e r   +   p D o s H e a d e r - > e _ l f a n e w ) ; p P E H e a d e r   =   ( P I M A G E _ F I L E _ H E A D E R ) ( ( D W O R D ) p N T H e a d e r   +   4 ) ; p O p t i o n H e a d e r   =   ( P I M A G E _ O P T I O N A L _ H E A D E R 3 2 ) ( ( D W O R D ) p P E H e a d e r   +   I M A G E _ S I Z E O F _ F I L E _ H E A D E R ) ; p I m p o r t   =   ( P I M A G E _ I M P O R T _ D E S C R I P T O R ) ( p O p t i o n H e a d e r - > D a t a D i r e c t o r y [ 1 ] . V i r t u a l A d d r e s s   +   d w I m a g e B a s e ) ;     / / 定 位 导 入 表 w h i l e   ( p I m p o r t - > F i r s t T h u n k   ! =   0   & &   F l a g   = =   F A L S E ) { p I A T T h u n k   =   ( P D W O R D ) ( p I m p o r t - > F i r s t T h u n k   +   d w I m a g e B a s e ) ; w h i l e   ( * p I A T T h u n k ) { i f   ( * p I A T T h u n k   = =   N e w A d d r ) { * p I A T T h u n k   =   O l d A d d r ; F l a g   =   T R U E ; b r e a k ; } p I A T T h u n k + + ; } p I m p o r t + + ; } r e t u r n   F l a g ; } i n t   W I N A P I   M y M e s s a g e B o x W ( H W N D   h W n d ,   L P C W S T R   l p T e x t ,   L P C W S T R   l p C a p t i o n ,   U I N T   u T y p e ) { p r i n t f ( " % x     % s         % w s       % x n " ,   h W n d ,   l p T e x t ,   l p C a p t i o n ,   u T y p e ) ;
  推 荐 阅 读 ： 推 荐 阅 读 ： 远 程 线 程 注 入 远 程 线 程 注 入 D l l ， 突 破 ， 突 破 S e s s i o n   0 本 月 报 名 可 以 参 加 抽 奖 送 暗 夜 精 灵 6 P r o 笔 记 本 电 脑 的 优 惠 活 动 点 赞 ， 转 发 ， 在 看 点 赞 ， 转 发 ， 在 看 原 创 投 稿 作 者 ： B u f f e r t y p e d e f   i n t   ( W I N A P I *   p M e s s a g e B o x ) ( H W N D ,   L P C W S T R ,   L P C W S T R ,   U I N T ) ; / / i n t   r e t   =   M e s s a g e B o x ( h W n d ,   l p T e x t ,   l p C a p t i o n ,   u T y p e ) ; i n t   r e t   =   ( ( p M e s s a g e B o x ) O l d F u n c ) ( h W n d ,   l p T e x t ,   l p C a p t i o n ,   u T y p e ) ; p r i n t f ( " 返 回 值 % x " ,   r e t ) ; r e t u r n   r e t ; } i n t   T e s t I A T H O O K ( ) { S e t I A T H o o k ( O l d F u n c ,   ( D W O R D ) M y M e s s a g e B o x W ) ; M e s s a g e B o x ( N U L L ,   L " H E L L O " ,   L " H A C K E R " ,   M B _ O K ) ; U n S e t I A T H o o k ( O l d F u n c ,   ( D W O R D ) M y M e s s a g e B o x W ) ; r e t u r n   1 ; } i n t   m a i n ( ) { T e s t I A T H O O K ( ) ; }

回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:30 , Processed in 0.380887 second(s), 39 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表