原理

如果程式中使用了靜態連結庫檔案，那麼PE檔案中就會有關於這些函式的匯入表的存在，程式通過呼叫IAT表來定位函式地址從而實現呼叫。如果將這些已經確定好的函式地址給替換成為惡意函式地址，那麼就會欺騙 程式執行惡意函式。

編碼測試

• IDE： VS 2008
• APP：DLL TYPE
• OS： WINDOWS XP SP3

// dllmain.cpp : 定義 DLL 應用程式的入口點。
#include "stdafx.h"
#include <windows.h>

//定義函式指標，和CreateFileW一致
typedef HANDLE ( WINAPI *CRETEFILEW)
(
 LPCTSTR,              
 DWORD,                
 DWORD ,               
 LPSECURITY_ATTRIBUTES,
 DWORD                ,
 DWORD                ,
 HANDLE               
 );

CRETEFILEW dwCreateFileWAddr = 0
 
;

//msdn的搬運工T_T
// HANDLE WINAPI CreateFile(
//                       _In_     LPCTSTR               lpFileName,
//                       _In_     DWORD                 dwDesiredAccess,
//                       _In_     DWORD                 dwShareMode,
//                       _In_opt_ LPSECURITY_ATTRIBUTES lpSecurityAttributes,
 

//                       _In_     DWORD                 dwCreationDisposition,
//                       _In_     DWORD                 dwFlagsAndAttributes,
//                       _In_opt_ HANDLE                hTemplateFile
//                       );

//fake func replace the one above
HANDLE WINAPI myCreateFile(
                           _In_     LPCTSTR               lpFileName,
                           _In_     DWORD                 dwDesiredAccess,
                           _In_     DWORD                 dwShareMode,
                           _In_opt_ LPSECURITY_ATTRIBUTES lpSecurityAttributes,
                           _In_     DWORD                 dwCreationDisposition,
                           _In_     DWORD                 dwFlagsAndAttributes,
                           _In_opt_ HANDLE                hTemplateFile
                           )
{
    WCHAR wFileName[MAX_PATH] ={0
 
};
    wcscpy(wFileName,lpFileName);
    if (wcscmp(wcslwr(wFileName),L"c:\\test.txt")==0)
    {
        if (MessageBoxW(NULL,L"OPEN FILE?",L"NOTICE",MB_YESNO)==IDYES)
        {
            return   dwCreateFileWAddr(                             //為什麼沒有用createFileW，而使用的是dwCreateFile呢，因為iat已經被劫持了，否則就成了遞迴，永遠到不了真正的實現了。
                lpFileName,
                dwDesiredAccess,
                dwShareMode,
                lpSecurityAttributes,
                dwCreationDisposition,
                dwFlagsAndAttributes,
                hTemplateFile
                );
        } 
        else
        {
            return INVALID_HANDLE_VALUE;
        }
    } 
    else
    {
        return dwCreateFileWAddr(
            lpFileName,
            dwDesiredAccess,
            dwShareMode,
            lpSecurityAttributes,
            dwCreationDisposition,
            dwFlagsAndAttributes,
            hTemplateFile
            );
    }
}

VOID HookNotePadIAT()
{
    //get iid_addr 
    HMODULE notepad_module = GetModuleHandleA(NULL);
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)notepad_module;
    PIMAGE_NT_HEADERS pNTHeader = (PIMAGE_NT_HEADERS)((DWORD)notepad_module+pDosHeader->e_lfanew);
    DWORD RVA_FirstIID = pNTHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress;
    PIMAGE_IMPORT_DESCRIPTOR pIID=(PIMAGE_IMPORT_DESCRIPTOR)((DWORD)notepad_module+RVA_FirstIID);
    //PIMAGE_IMPORT_DESCRIPTOR pIIDtemp =pIID;

    //real addr of "CreateFileW"
    HMODULE handle=LoadLibraryA("kernel32.dll");
    DWORD dwFuncAddr = (DWORD)GetProcAddress(handle,"CreateFileW");


    //find the IID remains 'kernel32.dll'
    BOOL isExist = FALSE;
    while (pIID->Name)
    {
        char* dllname=(char*)(pIID->Name+(DWORD)notepad_module);
        char szName[MAXBYTE]={0};
        strcpy(szName,dllname);
        if (strcmp(strlwr(szName),"kernel32.dll")==0) //wrong here KERNEL32.dll
        {
            isExist = TRUE;
            break;
        }
        pIID++;
    }

    //check the iat addr is right ?
    if (isExist==TRUE)
    {
        isExist= FALSE;
        PIMAGE_THUNK_DATA pIAT=(PIMAGE_THUNK_DATA)(pIID->FirstThunk+(DWORD)notepad_module); //forget the baseimage...
        while (pIAT->u1.Function)
        {
            DWORD* pAddr=(DWORD*)(&pIAT->u1.Function); //get IAT addr
            if (*pAddr == dwFuncAddr)         //check contents of iat if right.
            {
                printf("isExist\n");
                isExist=TRUE;         
                dwCreateFileWAddr = (CRETEFILEW)*pAddr;    //real addr.
                DWORD dwMyHookAddr = (DWORD) myCreateFile;
                WriteProcessMemory(GetCurrentProcess(),(LPVOID)pAddr,&dwMyHookAddr,sizeof(DWORD),NULL); //replace the iat content
                break;
            }
            pIAT++;
        }
    }

}

BOOL APIENTRY DllMain( HMODULE hModule,
                      DWORD  ul_reason_for_call,
                      LPVOID lpReserved
                      )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        HookNotePadIAT();
        break;
    }
    return TRUE;
}

編碼說明

上述程式碼原理：
1. 首先找到第一個IID的地址，用pIID 來儲存。
2. 遍歷IID，通過查詢name欄位 ，來確定程式中目標函式所在的DLL在匯入表中，找到的IID指標用pIID來表示。
3. 用動態呼叫的方式得到目標函式的地址，儲存為dwFuncAddr。
4. 讀取PIID 指向的IAT表，檢查IAT表中的內容和動態獲取的地址是否一致。
5. 記憶體中替換，寫入偽造的函式地址。

注意

• 在惡意函式中，有時候必須要實現被掛鉤函式的功能。在inlineHook 中，通過unhook操作來恢復記憶體。而在IAT掛鉤中，首先儲存了原來的函式入口地址。不管使用什麼方式掛鉤，原來的內容一定要通過一個變數儲存下來。

• 編譯與執行過程出現的問題：

  1. 在查詢IID的時候， if (strcmp(strlwr(szName),"kernel32.dll")==0) //wrong here KERNEL32.dll 之前沒有轉小寫，除錯後發現kernel32.dll為KERNEL32.dll 。
  2. while (pIAT->u1.Function) 測試錯誤，除錯之後發現問題是pIAT 忘了沒有加基址，FirstThunk 是個RVA 。
  3. 不同型別的指標在使用時一定需要轉化，一般而言，函式指標在賦值的時候必須轉化。
  4. DLL主函式中：case不一定要全寫，本例中就寫了一個目標訊息DLL_PROCESS_ATTACH 這也是可以的。

證明

開啟notepad.exe後用dlljector.exe注入此程序

C:\Documents and Settings\Administrator\桌面>DLLInjector.exe C:\VC6\MyProjects\i
atHook_dll\Debug\iatHook_dll.dll 456

有意思的是選中檔案的時候也會呼叫CreateFileW.

彈窗選擇否之後，返回INVALID_HANDLE_VALUE ,也即開啟失敗。