API掛鉤檢測

Question

有沒有什麼辦法可以確定掛鉤到特定dll的進程？

例如， 當惡意軟件感染時，它執行api掛鉤，如「Wininet.dll」中的「InternetConnect功能」。 那麼，如何檢測這些特定api的鉤子程序？

Answer 1

我想你可能會尋找答案是一個張貼在這裏：https://security.stackexchange.com/questions/17904/what-are-the-methods-to-find-hooked-functions-and-apis

基本上，該短的版本是，如果你想檢查用戶級別的API掛鉤的常用方法，你可以嘗試：

• 二進制文件的代碼在內存中
• 比較IAT啓動快照當前IAT比較代碼。
• 比較碼指出是IAT的已知項的實際條目

This paper還建議作爲一個很好的資源，這個問題

Answer 2

如果你想手動查找它，使用Dependency Walker查找可執行文件引用的靜態鏈接（靜態鏈接）或運行時，使用進程管理器（sysinternals）並檢查內存中已加載的模塊（dll）及其進程簽名。

搜索谷歌的兩種工具，你會發現它免費且易於使用。

如果您有興趣附加到進程並查找進程的所有活動（如文件系統調用，註冊表調用等），Process Monitor是其他sysinternals工具之一。