IAT挂钩退出自己进程上的进程

Question

我想问一个关于IAT在我自己的进程上挂钩的问题。

我目前正在尝试挂接ExitProcess，以便它在任何ExitProcess调用之前运行某个函数，我面临一些问题。

我在运行时遍历PE，通过IMAGE_IMPORT_DESCRIPTOR，在那里找到kernel32.dll（这是第一个.dll）后，我正在按名称遍历它THUNK_DATA-s，试图在那里找到ExitProcess，但没有成功。

记录功能，这些是在那里找到的功能-

GetModuleHandleA
GetProcAddress
LoadLibraryA
GetModuleFileNameW
FreeLibrary
VirtualQuery
GetProcessHeap
HeapFree
HeapAlloc
GetSystemTimeAsFileTime
GetCurrentThreadId
GetCurrentProcessId
QueryPerformanceCounter
IsProcessorFeaturePresent
WideCharToMultiByte
MultiByteToWideChar
LoadLibraryW
lstrlenA
LoadLibraryExW
GetLastError
RaiseException
IsDebuggerPresent
DecodePointer
EncodePointer
GetModuleHandleW

尽管ExitProcess不在其中。

我尝试过用函数指针而不是名称来枚举（使用thunkdata而不是originalthunkdata），尽管它也失败了。

ExitProcess的GetProcAddress确实在PE中返回了一个指针，我已经尝试通过loadlibrary强制加载kernel32.dll（尽管它应该自动加载），尽管结果是一样的。

可能是什么问题？

HMODULE hMod = GetModuleHandle(NULL);
PIMAGE_DOS_HEADER pImgDosHeaders = (PIMAGE_DOS_HEADER)hMod;
PIMAGE_NT_HEADERS pImgNTHeaders = (PIMAGE_NT_HEADERS)((LPBYTE)pImgDosHeaders + pImgDosHeaders->e_lfanew);
PIMAGE_IMPORT_DESCRIPTOR pImgImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)((LPBYTE)pImgDosHeaders + pImgNTHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);
UINT indx = 0;
while(strcmpi((PCHAR)((LPBYTE)pImgDosHeaders + pImgImportDesc[indx].Name), "kernel32.dll")) { ++indx; };
PIMAGE_THUNK_DATA pImgThunkData = (PIMAGE_THUNK_DATA)((LPBYTE)pImgDosHeaders +pImgImportDesc[indx].OriginalFirstThunk);
PIMAGE_IMPORT_BY_NAME pImgImportByName = NULL;
for(;pImgThunkData->u1.Function; ++pImgThunkData)
{
    pImgImportByName = (PIMAGE_IMPORT_BY_NAME)((LPBYTE)pImgDosHeaders + pImgThunkData->u1.AddressOfData);
    !strcmpi("ExitProcess",pImgImportByName->Name) ? cout << "ExitProcess Found" : false;
}
return true;

非常感谢您，祝您度过美好的一天！

Answer 1

如果您的应用程序没有静态调用ExitProcess()，例如根本没有调用它（甚至应用程序的RTL也没有调用它），或者它是通过GetProcAddress()动态加载的，那么它将不会出现在应用程序的IMPORTS表中。IMPORTS表只列出应用程序静态链接到的函数。这可能是代码找不到它的原因。请使用PEDUMP或DependencyWalker等实用程序确保应用程序实际上静态链接到ExitProcess()。例如，在我的开发环境（C++Builder XE2）中，如果我创建一个控制台项目，则在IMPORTS表中找不到ExitProcess()，但如果我创建了一个GUI项目，则会找到它。不同的是，这两种类型的项目在后台使用不同的RTL，因此当应用程序终止时，控制台RTL显然不使用ExitProcess()。