APIが監視されているかどうかのチェック（フックされていますか？）

Question

APIが監視されているかどうかのチェック（フックされていますか？）

私のアプリケーションでは、 GetProcAddress や CreateProcess のようないくつかのAPIを使用して、アンチウィルスが悪意のあるとフラグを立てることがあります。

私がやろうとしているのは、特定のAPIが監視されているかどうかをチェックしていれば、コードのその部分を呼び出さないということです。

特定のAPIがフックされているかどうかを確認するにはどうすればよいですか？

これは、Cで書かれたWindowsアプリケーションです。

ありがとう。

0

追加された 27 10月 2011 〜で 04:27 著者 Mr Aleph 編集された 28 10月 2011 〜で 10:22

ビュー: 44

源

ro ru fr es pt de hi bn ar uz be uk

dll注入もリモートスレッド作成もありません。これらの2つのAPIは、プログラムのさまざまな部分で異なることをしています。 APIフックを確認する方法を知っていますか？

追加された 27 10月 2011 〜で 04:39, 著者 Mr Aleph, 源

@alk Any。一つを選ぶ。

追加された 27 10月 2011 〜で 05:43, 著者 Mr Aleph, 源

GetProcAddress と CreateProcess だけでAVのフラグを立てるべきではありません。 CreateRemoteThread を使用してリモートDLL注入を行っていますか？その場合、関数のシグネチャはマルウェアのものと一致する可能性があります。

追加された 27 10月 2011 〜で 04:35, 著者 JosephH, 源

"...特定のAPIが存在するかどうかをチェック..."、どのAPIについて話していますか？

追加された 27 10月 2011 〜で 05:19, 著者 alk, 源

そして、あなたのAPIモニタ検出器がフックされていないことをどのように確認しますか？

追加された 27 10月 2011 〜で 04:34, 著者 Raymond Chen, 源

APIをフックした人があなたのAPI検出器を引っ掛けているかもしれないので、APIがフックされているかどうかを確かめる方法はありません。

追加された 27 10月 2011 〜で 06:16, 著者 Raymond Chen, 源

1 答え

著者 alk · Answer 1 · 2011-10-27T06:31Z

win32では、（ SetWindowsHookEx（）（ http://msdn.microsoft.com/en-us/library/windows/desktop/ms644990 ）非常に小さな機能のみをカバーする機能）。

フックを検出する方法は、フックの適用方法によって異なります。

フックを配置するには2つの一般的な方法があります：

テーブルのパッチをインポート/エクスポートする
コードの上書き

フックを配置するさまざまな方法に関する詳細（賛否両論）については、ここをクリックしてください。 http：//help.madshi .net/ApiHookingMethods.htm 。

フックする各方法は、それを検出するために異なるアプローチを必要とします。

上記のように配置されたフックを検出する方法については、「ApiHookCheckアルゴリズム」を参照してください。 http：// www.security.org.sg/code/apihookcheck.html をご覧ください。このページには、私が not テストしたサンプルソースがあります。