結果：在計算器視窗中把本來應該顯示的數字替換為中文
須知：計算器顯示資料的時候需要呼叫user32.dll裡面的SetWindowText() API
過程：在程式執行的時候會載入user32.dll到記憶體，這個時候會把IAT裡面寫入成函式的真正地址(具體見文章中圖)，這裡自己寫一個dll當dll被載入會修改user32.dll!SetWindowTextW對應的IAT值達到劫持程式執行流的目的。
注意：32位程式要編譯成32位dll，64位同樣

#include"windows.h"
LPVOID g_porgFunc = NULL;
BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpvReserved)
{
	switch (fdwReason)
	{
	case DLL_PROCESS_ATTACH:
		g_porgFunc = GetProcAddress(GetModuleHandle(L"user32.dll"), "SetWindowTextW");
		//用hookiad.MySetWindowsText()鉤取user32.SetWindowTextW()
		hook_iat("user32.dll", g_porgFunc, (PROC)MySetWindowTextW);
		break;
	case DLL_PROCESS_DETACH:
		//將calc.exe的IAT恢復原位
		hook_iat("user32.dll", (PROC)MySetWindowTextW, g_porgFunc);
		break;
	}
	return True;
}
 

首先獲取要掛鉤函式的地址，
然後把地址替換實現鉤取和脫鉤

然後需要一個轉化函式，函式完成的過程：
1.把傳入的引數進行轉化
2.呼叫原本的引數

typedef BOOL(WINAPI *PFSETWINDOWTEXTW)(HWND hWnd, LPWSTR lpString);
//cal.exe的IAT被鉤取之後當代碼中呼叫user32.SetWindowText函式時會首先呼叫hookiat.MyWindowTextW函式
BOOL WINAPI MySetWindowTextW(HWND hWnd,LPWSTR lpString)
{
	wchar_t* pNum = L"零一二三四五六七八九";
	wchar_t temp[2] = { 0 };
	int i = 0, nLen = 0, nIndex = 0;

	nLen = wcslen(lpString);
	for (i = 0; i < nLen; i++)
	{
		//將數字轉中文
		//lpString 是寬字元版本的字串
		if (L'0' <= lpString[i] && lpString[i] <= L'9')
		{
			temp[0] = lpString[i];
			nIndex = _wtoi(temp);//讀入的字元是寬字元
			lpString[i] = pNum[nIndex];
		}
	}//轉化
	//呼叫user32.SetWindowTextW()API
	//修改lpString緩衝區的內容
	return ((PFSETWINDOWTEXTW)g_porgFunc)(hWnd, lpString);
}
 

當程式正常執行SetWindowsTextW()API的時候函式會被hook_iat函式劫持為呼叫MySetWindowTextW函式，SetWindowsTextW的2個引數會被傳遞過來作為MySetWindowTextW的引數，這是對第二個引數（要顯示的字元）進行修改完成後再次呼叫SetWindowTextW函式(不過這個時候的第二個引數已經被修改了)

那麼hook_iat是怎麼實現的呢？在看之前先補充一些關於IAT的知識
IAT的結構如圖

BOOL hook_iat(LPCSTR szDllName,PROC pfnorg, PROC pfnNew)
{
	HMODULE hMod;
	LPCSTR szLibName;
	PIMAGE_IMPORT_DESCRIPTOR pImportDesc;
	PIMAGE_THUNK_DATA pThunk;
	DWORD dwOldProtect, dwRVA;
	PBYTE pAddr;
	//hMod,pAddr=ImageBase of cal.exe , VA to IMAGE_DOS_HEADER
	hMod = GetModuleHandle(NULL);//獲取最近執行exe的控制代碼
	pAddr = (PBYTE)hMod;
	//pAddr=VA to IMAGE_NT_HEADERS
	pAddr += *((DWORD*)&pAddr[0x3c]);

	//dwRVA=RVA to IMAGE_IMPORT_DESCRIPTOR Table
	dwRVA = *((DWORD*)&pAddr[0x80]);
	//pImportDesc=Va to Image_Import_DESCRIPTOR Table
	pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)hMod + dwRVA);
	for (; pImportDesc->Name; pImportDesc++)
	{
		//szLibName=VA to IMAGE_IMPORT_DESCRIPTOR.Name
		szLibName = (LPCSTR)(DWORD)hMod + pImportDesc->Name;
		if (!_stricmp(szLibName, szDllName))//找到對應dll
		{
			//pThunk=IMAGE_IMPORT_DESCRIPTOR.FirstThunk
			//		=VA to IAT(Import Address Table)
			pThunk = (PIMAGE_THUNK_DATA)((DWORD)hMod + pImportDesc->FirstThunk);
			//pThunk->u1.Function=VA to API
			for (; pThunk->u1.Function; pThunk++)
			{
				if (pThunk->u1.Function == (DWORD)pfnorg)
				{
					//更改記憶體屬性
					VirtualProtect((LPVOID)&pThunk->u1.Function, 4, PAGE_EXECUTE_READWRITE, &dwOldProtect);
					//修改IAT的值
					pThunk->u1.Function = (DWORD)pfnNew;

					//恢復記憶體屬性
					VirtualProtect((LPVOID)&pThunk->u1.Function, 4, dwOldProtect, &dwOldProtect);
					return TRUE;
				}
			}
		}
		
	}
	return FALSE;
}
//替換IAT中szDllName動態連結庫的pfnorg函式地址為pfnNew函式的地址
 

過程分為這幾步

1. 找到exe檔案的載入地址（GetModuleHandle(NULL)函式）
2. 找到user32.dll的載入地址，和SetWindowTextW的載入地址
3. 修改IAT記憶體的屬性用VirtualProtect函式
4. 修改IAT->Function值(這個值是函式的真正執行時地址)(dll被主調exe載入到自己的虛擬記憶體空間，所以直接賦值)
5. 把記憶體許可權修改回去

除錯：用OD的附加選項

右擊，查詢，所有模組中的名稱
敲入字元即可搜尋到相應的API或者dll

64位程式可以用windbg

總結：包含3個函式，主函式負責被載入的時候呼叫，hook_iat函式負責修改IAT，MySetWindowTextW函式對原函式的具體修改
和除錯方式的比較：除錯方式對原本的exe影響較大，容易被檢測，修改IAT的方式僅僅是增加一個庫或者直接程式碼注入，簡潔。