HOOK API 之修改IAT实现进程隐藏

1 ．技术与实现 每个调用的 API 函数地址都保存在 IAT 表中。 API 函数调用时，每个输入节（ IMPORT SECTION ）所指向的 IAT 结构如下图所示。 程序中每个调用API 函数的CALL指令所使用的地址都是相应函数登记在IAT表的地址。所以为了截获API 函数，我们将IAT表中的地址换成用户自己的API PROXY函数地址，这样每个API调用都是先调用用户自己的API PR

>>阅读原文<<