下面的代码列出了EjectLib函数，它是使系统当前进程卸载我们的MainHookDll文件：
int WINAPI CHookApi::EjectLib(DWORD dwProcessId, LPTSTR lpDllName)
{
// open the process
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS,FALSE,dwProcessId);
if(hProcess == NULL)
return -1;
// 枚举进程中的模块
HANDLE hModuleSnap = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, dwProcessId);
if(hModuleSnap == INVALID_HANDLE_VALUE)
{
CloseHandle(hProcess);
return -1;
}
MODULEENTRY32 me32;
me32.dwSize = sizeof(MODULEENTRY32);
BOOL bFound = FALSE;
HMODULE hmod = NULL;
if(Module32First(hModuleSnap, &me32))
{
do
{
if(strcmpi(me32.szModule,lpDllName) == 0)
{
hmod = me32.hModule;
bFound = TRUE;
}
}while(!bFound && Module32Next(hModuleSnap, &me32));
}
CloseHandle(hModuleSnap);
if(hmod == NULL)
{
// 没有指定的模块
CloseHandle(hProcess);
return 0;
}
// 创建远程线程
PTHREAD_START_ROUTINE pfnRemote =(PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle("Kernel32"),"FreeLibrary");
if(pfnRemote ==NULL)
{
CloseHandle(hProcess);
return -1;
}
HANDLE hThread =CreateRemoteThread(hProcess,NULL,0,pfnRemote,hmod,0,NULL);
if(hThread ==NULL)
{
CloseHandle(hProcess);
return -1;
}
WaitForSingleObject(hThread, INFINITE);
CloseHandle(hProcess);
CloseHandle(hThread);
return 0;
}
我们在函数中使用了Psapi中定义的函数列举指定进程中加载的模块，看看是否加载了我们的MainHookDll文件，如果加载了，那么使用FreeLibrary函数卸载它。
2.2.1.1.2《WINDOWS 核心编程》Jeffrer老大实现的方法，暂叫做IAT大法吧,这种方法在这里就不进行说明了，有兴趣的话去参考《Windows 核心编程》吧。
2.2.1.1.3 DLL替换大法
这种方法是工作量最大，难度最低的方法。我还用拦截ws2_32.dll中的recv函数为例。大家都知道，如果某个应用程序要调用recv接收信息，那么它一定要加载ws2_32.dll。那么，我们可以制作一个自己的dll，它和ws2_32.dll的导出函数完全一致，而ws2_32.dll则被改名为ws2_32_old.dll，在我们的dll中加载ws2_32_old.dll，并且其他函数都直接调用原来的ws2_32_old.dll中的函数，而对于我们感兴趣的函数则进行自己的处理。不过步推荐这种做法，因为可能会因为ws2_32.dll版本的升级而使你的MainHookDll模块不能使用。
|
[【技术文档】]防火墙原理及实现 (8)