假设我们的特征码定位在MessageBoxA函数的地址（只是举个例子，一般这个函数不会被杀，其他函数也类似方法）那么我们到源码里面发现，我们在PrintMsg函数中调用了这个API函数，那么我们就要对他进行处理。对于输入表被查杀我们一般的处理方法是修改函数的调用方式，比如采用dll动态调用，通过上图，我们知道我们是以非unicode方式编译的MessageBox，他对应的非Unicode的函数为MessageBoxA，同时我们也得到这个MessageBoxA函数在UER32.dll文件中。那么我们修改MessageBox的调用方式为dll的动态调用，其代码修改成：
typedef int (WINAPI *MessageBoxAT)
(
HWND hWnd,
LPCSTR lpText,
LPCSTR lpCaption,
UINT uType
);
void PrintMsg()
{
char StrMsg[]="FgneL!olleH";
MessageBoxAT pMessageBoxA= (MessageBoxAT)GetProcAddress(LoadLibrary("user32.dll"),"MessageBoxA");
pMessageBoxA(NULL,strrev(StrMsg),NULL,MB_OK);
}
这样以后我们就修改了输入表中调用API函数的名称了。其他API函数也可以类似的修改调用方式。
typedef int (WINAPI *MessageBoxAT)
(
HWND hWnd,
LPCSTR lpText,
LPCSTR lpCaption,
UINT uType
);
void PrintMsg()
{
char StrMsg[]="FgneL!olleH";
MessageBoxAT pMessageBoxA= (MessageBoxAT)GetProcAddress(LoadLibrary("user32.dll"),"MessageBoxA");
pMessageBoxA(NULL,strrev(StrMsg),NULL,MB_OK);
}
这样以后我们就修改了输入表中调用API函数的名称了。其他API函数也可以类似的修改调用方式。
原文链接: https://www.cnblogs.com/94cool/archive/2012/10/31/2747403.html
欢迎关注
微信关注下方公众号，第一时间获取干货硬货；公众号内回复【pdf】免费获取数百本计算机经典书籍
原创文章受到原创版权保护。转载请注明出处：https://www.ccppcoding.com/archives/67673
非原创文章文中已经注明原地址，如有侵权，联系删除
关注公众号【高性能架构探索】，第一时间获取最新文章
转载文章受原作者版权保护。转载请注明原作者出处！
