APIHOOK一直是使你们感兴趣的话题。屏幕取词，内码转化，屏幕翻译，中文平台等等都涉及到了此项技术。有不少文章涉及到了这项技术，但都闪烁其词不愿明明白白的公布。我仅在这里公布如下我用Delphi制做APIHOOK的一些心得。
一般的APIHOOK有这样几种方法：
一、本身写一个动态连接库，里面定义本身写的想取代系统的API。把这个动态连接库映射到2G以上的系统动态连接库所在空间，把系统动态连接库中的该API的指向修改指向本身的函数。这种方法的好处就是能够取代系统中运行所有程序的该API。但他有个局限，就是只适用于Win9x。（缘由是NT中动态连接库不是共享的，每一个进程都有本身的一份动态连接库在内存中的映射）
二、本身写一个动态连接库，里面定义本身写得象替代系统的API。把这个动态连接库映射到进程的空间里。将该进程对API的调用指向本身写的动态连接库。这种方法的好处是能够选择性的替代哪一个进程的API。并且适用于全部的Windows操做系统。
这里我选用的是第二种方法。
第二种方法须要先了解一点PE文件格式的知识。
首先是一个实模式的的DOS文件头，是为了保持和DOS的兼容。
接着是一个DOS的代理模块。你在纯DOS先运行Win32的可执行文件，看看是否是也执行了，只是显示的的是一行信息大意是说该Windows程序不能在DOS实模式下运行。
而后才是真正意义上的Windows可执行文件的文件头。它的具体位置不是每次都固定的。是由文件偏移$3C决定的。咱们要用到的就是它。
若是咱们在程序中调用了一个MessageBoxA函数那么它的实现过程是这样的。他先调用在本进程中的MessageBoxA函数而后才跳到动态连接库的MessageBoxA的入口点。即：
call messageBoxA(0040106c)
jmp dword ptr [_jmp_MessageBoxA@16(00425294)]
其中00425294的内容存储的就是就是MessageBoxA函数的入口地址。若是咱们作一下手脚，那么......
那就开始吧！
咱们须要定义两个结构
type
PImage_Import_Entry = ^Image_Import_Entry;
Image_Import_Entry = record
Characteristics: DWORD;
TimeDateStamp: DWORD;
MajorVersion: Word;
MinorVersion: Word;
Name: DWORD;
LookupTable: DWORD;
end;
type
TImportCode = packed record
JumpInstruction: Word; file: //定义跳转指令jmp
AddressOfPointerToFunction: ^Pointer; file: //定义要跳转到的函数
end;
PImportCode = ^TImportCode;
而后是肯定函数的地址。
function LocateFunctionAddress(Code: Pointer): Pointer;
var
func: PImportCode;
begin
Result := Code;
if Code = nil then exit;
try
func := code;
if (func.JumpInstruction = $25FF) then
begin
Result := func.AddressOfPointerToFunction^;
end;
except
Result := nil;
end;
end;
参数Code是函数在进程中的指针，即那条Jmp XXX的指令。$25FF就是跳转指令的机器码。
再下一篇我会讲如何替换下那个XXX的内容，让他跳到你想去的地方。javascript