Description: Il y a quelques temps, j avais publié sur le blog la technique de l IAT Hook qui permettait de détourner l appel d une fonction via la table d importation.
Mais cela a ses limites: si vous posez un hook après que le programme ai récupéré l adresse de la fonction, cela ne fonctionnera pas. De même si le programme a utilisé GetProcAddress.
Ici, nous changeons donc de tactique: plutô t que de modifier l adresse de la fonction, nous allons modifier le code de la fonction pour la faire sauter via l instruction JMP (0xE9) sur notre fonction.
Pour ce faire, j ai donc dû calculer la taille des instructions et j ai donc utilisé le projet x86ime.
To Search:
File list (Check if you may need any files):
Release
.......\x86.exe
.......\x86.pdb
.......\_virus.txt
x86
...\main.c
...\Release
...\.......\CL.read.1.tlog
...\.......\CL.write.1.tlog
...\.......\link.read.1.tlog
...\.......\link.write.1.tlog
...\.......\main.obj
...\.......\mt.read.1.tlog
...\.......\mt.write.1.tlog
...\.......\vc100.pdb
...\.......\x86.Build.CppClean.log
...\.......\x86.exe.intermediate.manifest
...\.......\x86.lastbuildstate
...\.......\x86.log
...\.......\x86.write.1.tlog
...\.......\x86im.obj
...\.......\x86im_fmt.obj
...\x86.vcxproj
...\x86.vcxproj.filters
...\x86.vcxproj.user
x86im
.....\x86im.c
.....\x86im.h
.....\x86im_fmt.c
.....\x86im_fmt.h
.....\x86im_gen.h
.....\x86im_io.h
.....\x86im_itbl.h
x86.sln
x86.suo
Download