Red de Respuestas Legales - Consulta de información - Cómo escribir un enlace global para conectar la API en el sistemaHOOK API es un tema eterno. Sin HOOK, muchas tecnologías serán difíciles de implementar o es posible que no se implementen en absoluto. La API mencionada aquí es API en un sentido amplio, incluidas interrupciones en DOS, API en WINDOWS, servicios de interrupción, filtrado IFS y NDIS, etc. Por ejemplo, el software de traducción instantánea con el que todo el mundo está familiarizado se implementa mediante HOOK TextOut() o ExtTextOut(). Antes de utilizar estas dos funciones para generar texto, el sistema operativo reemplazará el inglés correspondiente con chino para lograr una traducción instantánea. Lo mismo ocurre con el filtrado IFS y NDIS. Antes de leer y escribir discos y enviar y recibir datos, el sistema llamará a la función de devolución de llamada proporcionada por el tercero para determinar si la operación se puede liberar. Es diferente del HOOK normal y está permitido por el sistema operativo. El sistema operativo proporciona una interfaz para instalar funciones de devolución de llamada. Incluso si no hay HOOK, no hay virus, porque los virus en DOS y WINDOWS realizan sus funciones a través del servicio del sistema HOOK: los virus en DOS infectan archivos (virus de archivos) a través de HOOK INT 21 e infectan sectores de arranque a través de HOOK INT 13; Los virus en WINDOWS infectan archivos conectando la API del sistema (incluidas las capas RING0 y RING3) o instalando IFS (el método utilizado por los virus CIH). Por lo tanto, se puede decir que "sin HOOK, hoy no habría un mundo de software colorido". Debido a que están involucradas patentes, derechos de propiedad intelectual o secretos comerciales, Microsoft siempre ha disuadido a las personas de conectarse a la API de su sistema. Proporciona otras interfaces de filtrado como IFS y NDIS, que también están abiertas para satisfacer las necesidades del software antivirus. y cortafuegos. Muchas veces la API HOOK tiene que ser creada por uno mismo. HOOK API tiene el principio de que no puede afectar la función original de la API enganchada de ninguna manera. Así como un médico trata una enfermedad y salva a un paciente, si el virus en el cuerpo del paciente muere y el paciente muere, entonces "tratar la enfermedad y salvar al paciente" no tiene sentido. Si conecta la API, su propósito se logra, pero la función original de la API no es válida, por lo que no se engancha, sino que se reemplaza. Las funciones normales del sistema operativo se verán afectadas o incluso fallarán. La tecnología HOOK API no es complicada de decir, es una tecnología que cambia el flujo del programa. Entre las instrucciones de la CPU, hay varias instrucciones que pueden cambiar el flujo del programa: JMP, CALL, INT, RET, RETF, IRET, etc. En teoría, cualquier código de máquina que cambie la entrada y salida de la API puede engancharse, pero la implementación real es mucho más complicada porque es necesario abordar las siguientes cuestiones: 1. La longitud de la instrucción de la CPU en un sistema de 32 bits. , la longitud de una instrucción JMP/CALL La longitud es de 5 bytes, por lo que debe reemplazar el código de máquina en la API que exceda los 5 bytes (o reemplazar varias instrucciones que sumen 5 bytes), de lo contrario. 2. Problemas de parámetros Para acceder a los parámetros de la API original, debe hacer referencia a los parámetros a través de EBP o ESP, por lo que en este momento debe tener muy claro los valores de EBP/ESP en su código de enlace; 3. Tiempo, algunos ganchos deben estar en la API Al principio, algunos deben estar al final de la API, como HOOK CreateFilaA(). Si la API está enganchada al final de la API, no puede escribir archivos ni acceder a ellos en este momento; enganchar RECV (), si está en la parte superior del enlace API y no ha recibido datos en este momento, puede hacerlo. check RECV() El búfer de recepción, por supuesto, no tiene los datos que desea. Debe esperar la ejecución normal de RECV() y luego verificar el búfer de RECV() para obtener los datos requeridos. 4. Problemas de contexto, algunos códigos de enlace no pueden realizar ciertas operaciones; de lo contrario, el contexto de la API original se destruirá y la API original dejará de ser válida. 5. Problemas de sincronización, intente no usar variables globales en los códigos de enlace, sino locales; variables, que también son módulos La necesidad de optimizar el programa 6. Lo último a tener en cuenta es que la función original de la instrucción de la CPU reemplazada debe simularse en algún lugar del código de enlace. Tomemos send() en ws2_32.dll como ejemplo para explicar cómo conectar esta función: Exportado fn().