hook虚表监控虚表

RTTI(Runtime Type Identification,运行时类型识别）由c++编译器将对象的类型信息嵌入程序的只读数据段，以支持C++的各种操作符在运行时确定（typeid)和检查(dynamic_cast)一个对象的数据类型。
对微软的编译器而言，RTTI和虚表位置在-4的地址构建。

#include <stdio.h>
#include <Windows.h>
#define VTSIZE  6
#pragma pack(1)
class Parent
{
public:virtual void Fun1() = 0;virtual void Fun2() = 0;virtual void Fun3() = 0;virtual void Fun4() = 0;virtual void Fun5() = 0;
};class Child: public Parent
{
public:void Fun1(){printf("11111\n");}void Fun2(){printf("22222\n");}void Fun3(){printf("33333\n");}void Fun4(){printf("44444\n");}void Fun5(){printf("55555\n");}};typedef struct _JMP_TABLE_ITEM{//UCHAR uPushesi;  //backup esi for checkesp   push esi, pop esiUCHAR uMoveEaxForFactAddr;DWORD dwFactAddr;UCHAR uPashEaxForFactAddr;//UCHAR uPushad;  //0x60//UCHAR uPushfd;  //0x9c//UCHAR uJmp;//DWORD dwCheckAddr;//jmp to check function//simulate messagebox exist issue
#ifdef DEBUGUCHAR push0;UCHAR zero0;UCHAR push1;UCHAR zero1;UCHAR push2;UCHAR zero2;UCHAR push3;UCHAR zero3;UCHAR tempmoveax;DWORD dwmsgAddr;UCHAR uJmpmsg; //FFDWORD uJmpeaxaddr;  UCHAR add;UCHAR esp;UCHAR four;
#endif//UCHAR uPopad;   //61//UCHAR uPopfd; //9dUCHAR uPopeax; //58UCHAR uJmp22;    //FFUCHAR uJmpEax;  //EO}JMP_TABLE_ITEM;void CheckFunc(DWORD checkNum)
{}void InitFakeVirtualTable(DWORD *pfakevt,JMP_TABLE_ITEM *pJMPTable, DWORD pFactvt, DWORD msgaddr)
{DWORD *pvt = (DWORD*)*(DWORD*)pFactvt;for(int i = 0; i < VTSIZE; ++i){*pfakevt = (DWORD)pJMPTable;pJMPTable->uMoveEaxForFactAddr = 0xB8;pJMPTable->dwFactAddr = *(DWORD*)(pvt+i);pJMPTable->uPashEaxForFactAddr = 0x50;   //push fact virtual function address//pJMPTable->uPushad = 0x60;//pJMPTable->uPushfd = 0x9C;//pJMPTable->uJmp = 0xE9;//pJMPTable->dwCheckAddr = (DWORD)CheckFunc;
#ifdef DEBUGpJMPTable->push0 = 0x6A;pJMPTable->zero0 = 0x0;pJMPTable->push1 = 0x6A;pJMPTable->zero1 = 0x0;pJMPTable->push2 = 0x6A;pJMPTable->zero2 = 0x0;pJMPTable->push3 = 0x6A;pJMPTable->zero3 = 0x0;pJMPTable->tempmoveax = 0xB8;pJMPTable->dwmsgAddr = msgaddr;pJMPTable->uJmpmsg = 0xFF;  //FFpJMPTable->uJmpeaxaddr = 0xE0;pJMPTable->add = 0x83;pJMPTable->esp = 0xC4; pJMPTable->four = 0x10;
#endif//pJMPTable->uPopad = 0x61;//pJMPTable->uPopfd = 0x9d;pJMPTable->uPopeax = 0x58;pJMPTable->uJmp22 = 0xFF;pJMPTable->uJmpEax = 0xE0;pfakevt++;pJMPTable++;}
}void main()
{//Fake virtual tableDWORD *pfakeVirtualTable = new DWORD[VTSIZE]();JMP_TABLE_ITEM *pJMPTable = new JMP_TABLE_ITEM[VTSIZE]();DWORD oldprotect = 0;VirtualProtect(pfakeVirtualTable,1024,PAGE_EXECUTE_READWRITE,&oldprotect);//VirtualProtect(pJMPTable,1024,PAGE_EXECUTE_READWRITE,&oldprotect);Parent *pChild = new Child();DWORD ptemp = (DWORD)pChild;//simulate checkfuncHMODULE hNtdll = GetModuleHandleA("user32.dll");DWORD addr = (DWORD)GetProcAddress(hNtdll,"MessageBoxA");InitFakeVirtualTable(pfakeVirtualTable,pJMPTable,ptemp,addr);*(DWORD*)pChild = (DWORD)pfakeVirtualTable;pChild->Fun1();pChild->Fun2();pChild->Fun3();pChild->Fun4();pChild->Fun5();VirtualProtect(pfakeVirtualTable,1024,oldprotect,&oldprotect);//VirtualProtect(pJMPTable,1024,oldprotect,&oldprotect);
}

hook虚表监控虚表相关推荐

内核编程之SSDTHook（3）Hook NtCreateSection监控所有可执行模块加载
本博文由CSDN博主zuishikonghuan所作,版权归zuishikonghuan所有,转载请注明出处:http://blog.csdn.net/zuishikonghuan/article/d ...
C++中虚函数、虚指针和虚表详解
关于虚函数的背景知识用virtual关键字申明的函数叫做虚函数,虚函数肯定是类的成员函数. 存在虚函数的类都有一个一维的虚函数表叫做虚表.每一个类的对象都有一个指向虚表开始的虚指针.虚表是和类对应的 ...
虚函数、虚指针和虚表
虚函数.虚指针和虚表 http://eriol.iteye.com/blog/1167737 关于虚函数的背景知识用virtual关键字申明的函数叫做虚函数,虚函数肯定是类的成员函数. 存在虚函数的 ...
你了解C++中的虚表吗
虚表一.什么是虚表二.虚表是干什么的一.什么是虚表在面试中,面试官会问到一个问题,影响一个类大小的因素有哪些? 这是我们就需要知道,影响一个类大小的因素首先就有成员变量,以及继承,以及最重要的 ...
C++虚函数的实现方式(虚表+虚指针)
虚函数表实现原理虚函数的实现是由两个部分组成的,虚函数指针与虚函数表. 用virtual关键字申明的函数叫做虚函数,虚函数肯定是类的成员函数. 存在虚函数的类都有一个一维的虚函数表叫做虚表.每一个类 ...
虚函数，虚表深度剖析
面向对象,从单一的类开始说起. class A { private:int m_a;int m_b; }; 这个类中有两个成员变量,都是int类型,所以这个类在内存中占用多大的内存空间呢? sizeo ...
c++关于虚表的一些笔记
文章目录 1.虚函数表指针 2.多态构成的条件 3.重载.重写.重定义三者区别 4.继承与虚函数 5.单继承中的虚函数表无虚函数覆盖有虚函数覆盖 6.单继承中的虚函数表无虚函数覆盖有虚函数覆 ...
Windows xp下IDT Hook和GDT的学习
一.前言对于IDT第一次的认知是int 2e ,在系统调用的时候原来R3进入R0的方式就是通过int 2e自陷进入内核,然后进入KiSystemService函数,在根据系统服务调用号调用系统服 ...
19 | 耗电优化（下）：耗电的优化方法与线上监控
相比启动.卡顿.内存和网络的优化来说,可能大多数应用对耗电优化的关注不是太多.当然并不是我们不想做耗电优化,更多时候是感觉有些无从下手. 不同于启动时间.卡顿率,耗电在线上一直缺乏一个可以量化的指标. ...

hook虚表监控虚表

hook虚表监控虚表相关推荐

最新文章

热门文章