如何检测自己程序的API被HOOK了

这个程序的原版大家自己找，名字就叫做API拦截教程。启动该程序后，按下拦截createprocess的按钮后，运行任何程序都会d出运行程序的路径。稍微了解apihook的都了解，通常ring3下hookapi的办法有三种，一是修改程序的iat表，使api调用跳向自己的函数而不是转向api入口。二是修改api入口的机器码。三是用创建远线程CreateRemoteThread的办法来完成。那么这个教程究竟用了什么先进手法呢？ 先运行一次，按下按钮后，果然explorerd出了程序的路径。此时，你如果使用icesword类的可以查看程序模块的程序查看explorer的模块，你就会发现explorer里面多了个InterceptDll.dll的模块，当我们卸载了这个dll后，这个拦截的效果就没有了。看来这个程序的核心不是那个启动的程序，而是这个dll。现在让我们看看这个InterceptDll.dll到底做了什么。 先使用VC++的工具DUMPBIN将DLL中的导出函数表导出到一定义(.DEF)文件 DUMPBIN InterceptDll.dll /EXPROTS /OUT:InterceptDll.def ordinal hint RVA name 1 0 00001230 InstallHook 2 1 00001270 UninstallHook 只有两个导出函数，看名字就知道，一个是安装钩子，一个卸载钩子。我们调用看看 ，结果连参数都不用，只要调用InstallHook就可以把InterceptDll.dll插入explorer，用UninstallHook就可以卸载钩子。看来我们不用分析他的exe文件了，因为有用的东西就在这个dll里。那么如何分析这个dll这么工作的呢？直接用ida看静态代码，可以看见dll里有vivirtualalloc,setwindowshookexa等钩子函数。但是，里面乜嘢CreateRemoteThread这个函数，那么基本可以排除了第三种方法了。修改iat或者字节数的可能性比较大一些。那么具体究竟是用了什么手段，又是怎么实现的呢？光静态看源代码看出来，我可兄前没那种本事。如果说要实时调试explorer又非常的麻烦，那么怎么办呢？其实办法很简单啦，只要自己修改一颂尘激个exe文件名让他跟explorer同名就可以了。这家伙可不管你是真李逵还是假李鬼，统统都插！我先写了个很简单的exe程序，只有一个按钮直接掉用createprocess启动notepad的小程序，然后改名为explorer。运行后让程序拦截，果然再用icesword看模块，那个InterceptDll.dll偷偷野袜的钻进了我写的这个程序。 好，现在动手钻进InterceptDll.dll的内部，看看他到底干了什么！我用的是olldbg，其实windbg也可以，我用od习惯了。先附加到我自己写的这个小explorer程序，然后在createprocess下断点，按下启动notepad的按钮，断下以后，一步一步跟踪。转载仅供参考，版权属于原作者。祝你愉快，满意请采纳哦

所谓 HookAPI，就是改写程序的 IAT，再调用我自己写的用于替换原API函数的函数。在我们自己写的API函数中，我们可以进行我们想要的工作。之后呢，可以把原来的函数传回去，也可以不传回去，只要你设计好了就行。

而所谓调用自己的函数,就是把原函数参数都传给我的替换函数。我们就可以利用这些参数去弊毁干我们想做的事。而系统呢，我想由于微软设置的这个钩子的目的（我这么认为的），所以不会去检查替换函数是否就是原函数，只要参数、返回值符合条件就行，要不会出错。替换函数的返回值最好是原函数，否则有可能会绝袜出错

HookAPI时，exe程序起到的作用就是进行Hook，把dll注入到要Hook的程序，并且传回要挂接的进程的ID或者全局钩子，以便查询所要挂接的模并卜激块的IAT。如果不注入进去，系统不会让你去查询IAT的。DLL做的事情是确定要挂接哪个函数和这个函数在哪个DLL中等。

加壳全称应该执行程序资源压缩,保护文件用手段.

加壳程序直接运行,能查看源代码.要经脱壳才查看源代码.

加壳其实利用特殊算EXE、DLL文件资源进行压缩类似WINZIP 效压缩文件独立运行解压程完全隐蔽都内存完哪族伍解压原理加壳工具文件加段指令告诉CPU才能解压自加壳虽增加CPU附带减少硬盘读写间实际应用加壳程序运行速度更快（加壳变慢选择加壳工具问题）

般软件都加壳保护自软件破解、修改增加运行启速度

加壳等于木马我平巨数软件都加自专用壳

RARZIP都压缩软件加壳工具解压需要进行磁盘读写壳解压缩直接内存进行用RAR或者ZIP压缩病毒试试解压缩杀毒软件肯定发现用加壳手段封装木马能发现杀毒软件剩几

加壳等于文件进行保护(些杀毒软件杀原)

文件能重复加壳.判断依据文件否已经加保护

加壳其实主要两作用：

防止反编译（破解软件）免杀

修改文件定要脱壳看水平

些软件加壳工具

1、软件防盗版战士

《软件防盗版战士》李或数字许形式MicrosoftWindows（PE格式）应用程序提供版权保护及数字化销售支持纯软件产品含认证版、序列号版两选版本认证版128位二进制证书文件作保护软件终用户使用许并且主要终用户硬盘、CPU、网卡及 *** 作系统等特征信息版权保护安全源（保守说理论认证版版权保护强度达3-5内破解）

安全指标：1、象安全强度——《软件防盗版战士》各种象安全都尽能加入加密算其强度相于称算128位加密比普通硬件狗8位、16位、32位64位（少64位）安全强度强许2、入口安全强度——《软件防盗版战士》采用功能相关解决入口安全问题入口安全复杂度于40位安全强度《软件防盗版战士》入口安全强度限定128位（含128位）

2、比泰软件防盗版战士2005J

比泰软件防盗版战士2005J（BS-APC）比泰科技品软件加密保护产品系列（含L版、A版、J版等产品线）商业软件提供靠防盗版保护并支持数字化发行|采用比泰公司世界领先执行代码抽取加密技术软硬件结合认证技术保证软件象安全、功能相关保证软件入口安全、具唯性计算机（物理）特征数据作身份认证指纹并软件用户计算机本身运算能力进行防盗版保护具64位128位加密安全强度安全强度远胜传统外壳加密式加密狗、API内嵌式加密狗软件保护功能范围及运行效率超智能狗且须习加密狗编程引入附加硬件维护问题|适合C/MFC/VisualC++(VC++)/BorlandC++Builder(BCB)、穗激Delphi/ObjectPascal、PowerBuilder(PB)、Authorware、Director等发工具所编译程序保护|真实指令进行代码抽取加密暂保护伪编译程序VB、VFP、C#、JAVA

3、AntiCrackProtector

ACProtect由研究发并拥自主知识产权加密软件精品,许技术已经达并超外同类产品,WindowsEXE/DLL/OCX/SCR等32位运行文件加密系统通程序加层坚硬保护壳,非效防止盗版程序设置限制注册功能

即使没程序原代码,用ACProtect程序加运行数限制运行数限制运行效期限制通公匙加密算(RSA)创建并校验注册KEYRSAKEY确情况,才些受保护代码进行解码同使用内嵌式加密效防止加密软件内存抓取脱壳

内置反调试引擎效增加破解难度

专用API系统使ACProtect软件紧密接合起通使用ACProtect创建全功能评估版

4、XQBOX软件保护安装系统

XQBoxSoftwareProtecting数字许形式应用程序提供版权保护及数字化销售支持纯软件产品采用机器具唯性数据做指纹利用宿主计算机运算能力进行防盗版保护

XQBox保护系统集软件保护安装工具于身集工具XQBox核代码遵守标准c规则编写windows3.x/9x/2000/ntunixlinux等各种 *** 作系统编译运行作间件c、c++、java、delphi、vc、vb、vf、Masm32、pb、php、Authorware等各种工具发软件嵌入使用兼容性非核代码经全域均匀抽值测试各种特值测试行全域测试均通

5、秦赢甲胄反盗版加密软件

款反盗版软件用户注册便终端用户需要手输入序列号认证码等等切由注册端软件自完；用户机器硬件信息作注册码/加密密钥；拷贝能同台机器注册；要同台机器台机器注册；能注册台机器运行

使用理论安全密码协议算保证脱机破解能通注册机破解；能通散发序列号破解

更改检测(检测病毒破解者更改)；反跟踪功能（Anti-Debug）

运行代码完整性校验防止Cracker跟踪设置断点；防止通补丁程序破解

反Dump功能（Anti-Dump）；反反汇编功能（Anit-Disassembler）；效管理经销商序列号发放；统计软件销售数量；效管理用户注册

6、PE加密保护软件EncryptPE

EncryptPE能加密保护规PE文件（EXE、DLL、OCX等般程序或NT服务程序）防静态析修改反态跟踪调试效保护软件防止盗版除规抗调试器（SoftIce、TRW、OllyDbg等）、监视器、DUMP工具外EncryptPE采用加密保护手段：随机加密算、CRC校验、变形、代码替换、进程注入、APIHOOK、线程、调试运行、全程监控等

能普通软件变共享软件增加定注册提醒、限制试用期、限制试用数、限制试用数、限制每试用间等功能

能根据终用户机器信息、注册用户及加密保护密码计算注册码诸加密算随机选择种用于注册码计算

支持语言并待加密软件提供语言接口

向待加密软件提供丰富便编程接口便于设计性注册式同使加密程序与加密壳间融整体增加破解难度

运行于种Windows平台包括9X/ME/NT/2000/XP/2003

7、注册码器

本软件自随机2至32位注册序列号及应注册码并些注册信息包含态联接库DLL文件软件发者DLL文件同应用程序并发行并应用程序相关模块调用DLL文件提供函数获注册号及相应注册码注册号及相应注册码软件使用者说透明用效避免软件盗版及其重复注册切实保护软件发者版权随软件同提供免费DLL源程序器工具DLL注册码查询工具启应用程序注册框示例程序及全部C++源代码等

8、计算机软件防盗版

计算机软件防盗版系统具际领先水平保护知识产权新技术现该技术已顺利完全部研制利用嵌入式加密态激解密工具化设计特征检测体系产品形态技术于19997月通公安部计算机信息安全检测检测计算机软件防盗版磁盘、光盘获公安部颁发计算机信息安全产品销售许证

---