APIHOOK解释： 在windows系统下编程，应该会接触到api函数的使用，常用的api函数大概有2000个左右。今天随着控件，stl等高效编程技术的出现，api的使用概率在普通的用户程序上就变得越来越小了。当诸如控件这些现成的手段不能实现的功能时，我们还需要借助api。最初有些人对某些api函数的功能不太满意，就产生了如何修改这些api，使之更好的服务于程序的想法，这样api hook就自然而然的出现了。我们可以通过api hook，改变一个系统api的原有功能。基本的方法就是通过hook"接触"到需要修改的api函数入口点，改变它的地址指向新的自定义的函数。api hook并不属于msdn上介绍的13类hook中的任何一种。所以说，api hook并不是什么特别不同的hook，它也需要通过基本的hook提高自己的权限，跨越不同进程间访问的限制，达到修改api函数地址的目的。对于自身进程空间下使用到的api函数地址的修改，是不需要用到api hook技术就可以实现的。

HOOK API和HOOK技术完全不同

尽管它们都是钩子。HOOK钩的是消息，它在系统将消息传递给应用程序之前截获它，然后进行操作、或修改消息、或停止消息 的传递；

而HOOK API截获的是应用程序对系统API的调用，它在应用程序对系统API的调用之前截获此调用动作，让其转而调用我们所定义的函数（内容可能是进行一些操作 后再调用原系统API）。

关于HOOK技术，微软为我们提供了现成的API，有固定的使用步骤。

而对于HOOK API技术，微软并没有向我们提供类似的API，没有那么简洁的步骤可供我们参考，也许是因为微软并不希望我们用这样的手段编程，所以相对要麻烦一些。

Hook API

Hook就是钩子的意思，而API是指Windows开放给程序员的编程接口，使得在用户级别下可以对操作系统进行控制，也就是一般的应用程序都需要调用API来完成某些功能，Hook API的意思就是在这些应用程序调用真正的系统API前可以先被截获，ApiHook又叫做API劫持，从而进行一些处理再调用真正的API来完成功能。

Hook API微软并没有提供直接的接口函数，也许它并不想让我们这样做，不过有2种方法可以完成该功能。

第一种，修改可执行文件的IAT表（即输入表），因为在该表中记录了所有调用API的函数地址，则只需将这些地址改为自己函数的地址即可，但是这样有一个局限，因为有的程序会加壳，这样会隐藏真实的IAT表，从而使该方法失效。

第二种方法是直接跳转，改变API函数的头几个字节，使程序跳转到自己的函数，然后恢复API开头的几个字节，在调用AP完成功能后再改回来又能继续Hook了，但是这种方法也有一个问题就是同步的问题，当然这是可以克服的，并且该方法不受程序加壳的限制。

API Hook应用

API Hook技术应用广泛,常用于屏幕取词,网络防火墙,病毒木马,加壳软件,串口红外通讯,游戏外挂,internet通信等领域API HOOK的中文意思就是钩住API,对API进行预处理,先执行我们的函数,例如我们用API Hook技术挂接ExitWindowsEx API函数,使关机失效,挂接ZwOpenProcess函数(如:老王的EncryptPE),隐藏进程等等......

API Hook原则

HOOK API有一个原则，这个原则就是：被HOOK的API的原有功能不能受到任何影响。就象医生救人,如果把病人身体里的病毒杀死了，病人也死了，那么这个“救人”就没有任何意义了。如果你HOOK API之后，你的目的达到了，但API的原有功能失效了，这样不是HOOK，而是REPLACE，操作系统的正常功能就会受到影响，甚至会崩溃。

hook流程

我们的dll“注入“”被hook的进程 -> 保存系统函数入口处的代码 -> 替换掉进程中的系统函数入口指向我们的函数 -> 当系统函数被调用，立即跳转到我们的函数 -> 我们函数进行处理 -> 恢复系统函数入口的代码 -> 调用原来的系统函数 -> 再修改系统函数入口指向我们的函数（为了下次hook）-> 返回。

于是，一次完整的Hook就完成了。

API HOOK 方法

API Hook - Inline Hook

工作方式如下：

调用GetProcAddress对内存中要拦截的函数进行定位（如Kernel32.dll的ExitProcess），得到它的内存地址。
把这个函数起始的几个字节保存到我们的内存中。
用CPU的JUMP汇编指令来覆盖这个函数的起始几个字节，这条JUMP指令用来跳转到我们的替换函数的内存地址。我们替换的函数需要和原函数具有完全相同的声明：参数相同，返回值相同，调用约定相同。
当线程调用被拦截的函数时，跳转指令实际上会跳转到我们的替代函数，这是，我们可以执行相应的功能代码。
为了撤销对函数的拦截，我们必须把步骤2中保存的字节恢复回被拦截的函数中。
我们调用被拦截函数（现在已经不再拦截），让函数执行它的正常处理。
当原来函数返回时，我们再次执行第2，第3步，这样我们的替代函数将来还会被调用到。
注意事项：

JUMP指令对CPU（AMD，Intel）有依赖，在X86，X64下，更会有不同的表现。
由于替换汇编代码的过程，不是原子操作的，很有可能在其它线程运行到此函数的入口的时候进行了替换，导致指令异常，程序崩溃。

API Hook – SEH Hook
这里简单介绍一下，SEH是windows的结构化异常处理，通过安装一个结构化异常处理函数，当在保护的执行区域内发生异常时，会跳转到此异常函数。SEH Hook属于比较另类的Hook方式，它在函数开头插入异常代码，如（INT 3），当执行到此函数时，由于触发异常，则会跳到我们的处理函数中。

API Hook - IAT Hook
IAT - Import Address Table （输入地址表）
修改可执行文件的IAT表（即输入表）因为在该表中记录了所有调用API的函数地址，则只需将这些地址改为自己函数的地址即可，但是这样有一个局限，因为有的程序会加壳，这样会隐藏真实的IAT表，从而使该方法失效。

简单的说，此表格由一连串的函数地址组成，这些函数地址从其它模块中导入的函数地址。当Windows加载器加载一个PE可执行文件时，会将真正需要的函数的虚拟地址填入此表格。
改写内存地址JMP法

直接跳转，改变API函数的入口或出口的几个字节，使程序跳转到自己的函数,该方法不受程序加壳的限制。这种技术,说起来也不复杂，就是改变程序流程的技术。在CPU的指令里，有几条指令可以改变

程序的流程：JMP，CALL，INT，RET，RETF，IRET等指令。理论上只要改变API入口和出口的任何机器码，都可以HOOK,下面我就说说常用的改写API入口点的方法:

因为工作在Ring3模式下,我们不能直接修改物理内存,只能一个一个打开修改,但具体的方法又分成好几种,我给大家介绍几种操作思路:

<1>首先改写API首字节,要实现原API的功能需要调用API时先还原被修改的字节,然后再调用原API,调用完后再改回来,这样实现有点麻烦,但最简单,从理论上说有漏HOOK的可能,因为我们先还原了API,如果

在这之前程序调用了API,就有可能逃过HOOK的可能!

(2)把被覆盖的汇编代码保存起来,在替代函数里模拟被被覆盖的功能,然后调用原函数(原地址+被覆盖长度).但这样会产生一个问题,不同的汇编指令长度是不一样的(比如说我们写入的JMP指令占用5个字

节,而我们写入的这5个字节占用的位置不一定正好是一个或多个完整的指令,有可能需要保存7个字节,才不能打乱程序原有的功能,需要编写一个庞大的判断体系来判断指令长度,网上已经有这样的汇编程序

(Z0MBiE写的LDE32),非常的复杂!

(3)把被HOOK的函数备份一下,调用时在替代函数里调用备份函数.为了避免麻烦,可以直接备份整个DLL缺点就是太牺牲内存,一般不推荐使用这种方法!

HOOK API的一般步骤：

1.定义假API函数

注意假API函数，除了函数名称和真实API不一样之外，其它的都要跟真实API的定义相同，如参数类型和返回值、调用形式等。

至于我们如何知道真实API的原型定义呢？很简单，查看MSDN即可，或者你也可以在VS2008开发环境中，

写下该真实API，然后选中该API，再点鼠标右键，选择【转到定义】，就可以看到其原型声明了。
2.定义API函数类型

因为我们要动态获取原API函数的地址，获取到后，我们要将其保存起来，保存在哪里呢？

这就是定义API函数类型的原因了，有了API函数类型的定义后，我们就可以用其定义一个变量来 保存获取到的

真实API函数的地址了
原函数类型定义中的函数返回值和参数类型要跟MessageBoxW的定义相同。
上面就是定义了API函数类型MsgBoxW,这跟我们常见的int、char、float等类型，用法是一样的，

实际上，我们完全可以把MsgBoxW当成int类型来使用，这样一说，API函数类型也不过如此嘛。

有了API函数类型MsgBoxW,我们就可以用其来定义变量，从而为保存原API地址做准备了。
3.获取API函数入口
有了保存原API函数地址的变量OldMsgBox和指向原API函数的远指针，我们就可以获取真实API的地址了。
4.保存原API入口的前5个字节

           保存的目的是为了恢复用的，毕竟我们HOOK了API后，还需要调用真实的API嘛，

如何保存一个函数入口的前5个字节呢？这里用到了汇编代码，至于不用汇编可以吗？我想是可以的。

有空时，我再试一下，不用汇编是否能保存一个API入口的前5个字节
5.获取新入口的前5个字节

          因为我们修改真实API入口的前5个字节，使其跳转到我们假API函数的入口地址，即改成Jmp xxxxxxxx,其中xxxxxxxx就是我们

假API的入口地址，那么我们如何得到该地址呢？

前人已经总结出了一条公式：

int nAddr= UserFunAddr – SysFunAddr - （我们定制的这条指令的大小）;

Jmp nAddr; //我们要获取的就是nAddr的值
既然已经有了公式，我们拿来用即可，UserFunAddr相当于我们的假API,SysFunAddr相当于真实API，这里指令的大小为5，
6.修改真实API入口的前5个字节

前面我们已经保存了真实API入口的前5个字节，也已经计算出了新入口的前5个字节，

可谓万事俱备，只欠东风，现在可以修改真实API入口的前5个字节了。
7.恢复API函数入口前5个字节

API钩子系统一般框架

通常，我们把拦截API的调用的这个过程称为是安装一个API钩子（API Hook）。一个API钩子基本是由两个模块组成：一个是钩子服务器（Hook Server）模块，一般为EXE的形式；一个是钩子驱动器（Hook Driver）模块，一般为DLL的形式。

钩子服务器主要负责向目标进程注入钩子驱动器，使得钩子驱动器运行在目标进程的地址空间中，这是关键的第一步，而钩子驱动器则负责实际的API拦截处理工作，以便在我们所关心的API函数调用的之前或之后能做一些我们所希望的工作。一个比较常见的API钩子的例子就是一些实时翻译软件（像金山词霸）中必备的的功能：屏幕抓词。它主要是对一些Win32 API中的GDI函数进行了拦截，获取它们的输入参数中的字符串，然后在自己的窗口中显示出来。

针对上述关于API钩子的两个部分，有以下两点需要我们重点考虑的： 选用何种DLL注入技术，以及采用何种API拦截机制。