检查 API 是否受到监控( Hook ？)

Question

我的应用程序使用一些 API，例如 GetProcAddress 和 CreateProcess，有时会导致防病毒软件将其标记为恶意软件，即使它并非恶意软件。

我想做的是检查特定的 API 是否正在被监视或 Hook ，如果是，那么我不会调用该部分代码。

如何检查某个API是否被hook？

这是一个用 C 语言编写的 Windows 应用程序。

谢谢。

Answer 1

在 win32 上，没有官方方法来检测和/或放置钩子(Hook)(除了 SetWindowsHookEx() ( http://msdn.microsoft.com/en-us/library/windows/desktop/ms644990 ) 等仅涵盖一小部分功能的函数)。

检测钩子(Hook)取决于钩子(Hook)的应用方式。

有两种流行的放置 Hook 的方法:

1. 导入/导出表修补
2. 代码覆盖

有关放置 Hook 的不同方法的详细信息(优点/缺点)，请考虑阅读此处 http://help.madshi.net/ApiHookingMethods.htm .

每种 Hook 方法都需要不同的方法来检测它。

有关检测如上所述放置的钩子(Hook)的方法，请查看此处的“ApiHookCheck 算法”http://www.security.org.sg/code/apihookcheck.html 。此页面上有可用的示例源，但我没有对其进行测试。