要实现修改导入段来拦截API必须对PE文件格式有很好的了解。网上关于它的资料铺天盖地，自己搜吧。此处不打算介绍。

为了修改要拦截的函数在导入段的地址，首先要获得PE文件导入段的地址。这可以调用ImageDirectoryEntryToData.函数。

1. PVOID WINAPI ImageDirectoryEntryToData(
2. __in   PVOID Base,
3. __in   BOOLEAN MappedAsImage,
4. __in   USHORT DirectoryEntry,
5. __out  PULONG Size );

Base为要获得导入段所在模块的基地址。它一般是GetModuleHandle的返回值。

MappedAsImage，它为true时，系统将该模块以映像文件的形式映射，否则以数据文件的形式映射。

DirectoryEntry，要获得的段的索引。此函数不仅仅能够获得导入段的地址，根据此索引的不同，该函数返回对应段的地址。此处我们使用 IMAGE_DIRECTORY_ENTRY_IMPORT表示我们要获得导入段的地址。

Size返回表项的大小。注意其类型。

看代码：

1. ULONG size;
2. HMODULE hModule=GetModuleHandle(NULL);
3. PIMAGE_IMPORT_DESCRIPTOR pImport=
4. ImageDirectoryEntryToData(hModule,true,IMAGE_DIRECTORY_ENTRY_IMPORT,&size);
5. while(pImport->FirstThunk)
6. {
7. int i=0;
8. char *ModuleName=(char*)((BYTE*)hModule+pImport->Name);
9. PIMAGE_THUNK_DATA pThunk=(PIMAGE_THUNK_DATA)
10. ((BYTE*)hModule+pImport->FirstThunk);
11. while(pThunk->u1.Function)
12. {
13. char*Func=(char*)((BYTE*)hModule+pThunk->u1.AddressOfData+2);
14. If(Func=="MessageBoxA")
15. {
16. MessageBox("找到函数");
17. }
18. }
19. }

IMAGE_IMPORT_DESCRIPTOR 结构是导入段的基本结构，导入段是由此类型组成的数组构成，每个DLL对应数组中的一项。数组的最后一项为NULL。每一项中有两个关键成员，指出IMAGEA_THUNK_DATA类型的数组的偏移量，这两个数组分别列出了从此DLL导入的函数名称，以及它它们在本进程地址空间的RVA。

以下是其定义：

1. typedef struct _IMAGE_IMPORT_DESCRIPTOR {
2. union {
3. DWORD Characteristics;
4. DWORD OriginalFirstThunk;// 指向一个 IMAGE_THUNK_DATA 结构数组的RVA
5. }
6. DWORD TimeDateStamp;// 文件生成的时间
7. DWORD ForwarderChain;// 这个数据一般为0，可以不关心
8. DWORD Name;   // RVA，指向DLL名字的指针，ASCII字符串
9. DWORD FirstThunk; //指向一个 IMAGE_THUNK_DATA 结构数组的RVA,这个数据与IAT所指向的地址一致
10. }IMAGE_IMPORT_DESCRIPTOR,*PIMAGE_IMPORT_DESCRIPTOR

OriginalFirstThunk 和FirstThunk是此结构中的关键成员。它们指出这两个IMAGE_THUNK_DATA类型的数组。

Name 是指向DLL名称的指针。

pImport指向模块的导入段，可以使用它来访问IMAGE_IMPORT_DESCRIPTOR结构的每一个成员。

注意：以上所有偏移量都是相对于模块基地址的，因此在实际使用中一定要加上模块的地址。

OriginalFirstThunk指向NAT，NAT列出了从该DLL导入的所有导入函数的名称。

FirstThunk 指向IAT，IAT列出了与NAT相对应的导入函数的地址。

看此结构定义：

1. typedef struct _IMAGE_THUNK_DATA32 {
2. union {
3. PBYTE  ForwarderString;
4. PDWORD Function;
5. DWORD Ordinal;
6. PIMAGE_IMPORT_BY_NAME  AddressOfData;
7. } u1;
8. } IMAGE_THUNK_DATA32;

上述代码中，外层循环while(pImport->FirstThunk）用于遍历所有DLL，内层循环用于遍历查找每个DLL中的导入函数名称。我们以查找MessageBoxA函数为例来做介绍。此处我们通过对NAT进行扫描，将其与我们给出的字符串类型的函数名MessageBoxA进行比较。注意要使用大小写不敏感的函数：

1. int WINAPI lstrcmpi(
2. __in  LPCTSTR lpString1,
3. __in  LPCTSTR lpString2
4. );

这是一种方法，另一种方法是比较函数地址。我们可以对IAT进行扫描，将得到的地址与我们给出的函数地址进行比较。这两种方法是经常使用的方法。

下面给出使用地址比较的方法。

1. HMODULE hModule=GetModuleHandle(NULL);
2. ULONG size;
3. PIMAGE_IMPORT_DESCRIPTOR pImport=(PIMAGE_IMPORT_DESCRIPTOR)ImageDirectoryEntryToData
4. (hModule,true,IMAGE_DIRECTORY_ENTRY_IMPORT,&size);
5. UpdateData();
6. //获得MessageBoxA的地址。
7. PROC pfnOld=GetProcAddress(GetModuleHandle("User32.dll"),"MessageBoxA");
8. while(pImport->FirstThunk)
9. {
10. char *ModuleName=(char*)((BYTE*)hModule+pImport->Name);
11. PIMAGE_THUNK_DATA pThunk=(PIMAGE_THUNK_DATA)((BYTE*)hModule+pImport->FirstThunk);
12. while(pThunk->u1.Function)
13. {
14. PROC *ppfn=(PROC*)&(pThunk->u1.Function);
15. if(*ppfn==pfnOld)pfnOld为要查询的函数地址。
16. {
17. MessageBox("找到给定的函数")；
18. return ;
19. }
20. pThunk++;
21. }
22. pImport++;
23. }

当然以上仅仅是找到相应的函数。要用我们期望的函数代替它，还需要我们自己定义函数。

此处有一点要特别注意，当我们对某函数进行拦截时，要替换的函数必须与被替换的函数的原型完全相同。

比如此时我们要对MessageBoxA进行拦截，我们定义自己的函数的原型与MessageBoxA原型是完全一致的：

1. int WINAPI MyMessageBoxA(HWND hWnd,LPSTR  str,LPSTR caption ,UINT type)
2. {
3. //定义函数的行为。
4. }

我们可以在函数中调用被拦截的函数，也可以不对拦截的函数进行调用而进行其他操作。

注意：在拦截后，原来的函数地址已经被我们自定义的函数的地址覆盖，如果之后需要调用被拦截的函数，就必须在覆盖之前保存被拦截函数的地址。如果我们没有保存而直接调用，调用的只是替换后的函数。

以下代码将对MessageBox的调用进行拦截，并用我们的自定义函数MyMessageBox替代。

g_addr用于存储拦截之前MessageBox的地址

1. Typedef int (WINAPI　*PFNMESSAGEBOX(HWND,LPSTR,LPSTR,UINT);//定义函数指针。
2. PFNMESSAGEBOX g_addr=(PFNMESSAGEBOX)MessageBoxA;//存储MessageBoxA的地址。
3. //自定义的函数。
4. int WINAPI MyMessage(HWND hWnd,LPSTR a,LPSTR b,UINT type)
5. {
6. return ((PFNMESSAGEBOX)g_addr)(hWnd,a,"替换后的函数！?",MB_YESNO);
7. }
8. //对 MessageBox进行拦截，用MyMessageBox进行替换。
9. Void ReplaceOneFunc(PCSTR ModuleName,PFNMESSAGEBOX pfnOld,PFNMESSAGEBOX pfnNew)
10. {
11. pfnOld=(PFNMESSAGEBOX)MessageBoxA;
12. pfnNew=(PFNMESSAGEBOX)MyMessageBox;
13. HMODULE hModule=GetModuleHandle(NULL);
14. ULONG size;
15. PIMAGE_IMPORT_DESCRIPTOR pImport=(PIMAGE_IMPORT_DESCRIPTOR)ImageDirectoryEntryToData
16. (hModule,true,IMAGE_DIRECTORY_ENTRY_IMPORT,&size);
17. UpdateData();
18. while(pImport->FirstThunk)
19. {
20. char *ModuleName=(char*)((BYTE*)hModule+pImport->Name);
21. PIMAGE_THUNK_DATA pThunk=(PIMAGE_THUNK_DATA)((BYTE*)hModule+pImport->FirstThunk);
22. while(pThunk->u1.Function)
23. {
24. PFNMESSAGEBOX *ppfn=(PFNMESSAGEBOX*)&(pThunk->u1.Function);
25. if(*ppfn==pfnOld)
26. {
27. MessageBox("找到函数！恭喜你！");
28. SIZE_T num;
29. WriteProcessMemory(GetCurrentProcess(),ppfn,&pfnNew,4,&num);
30. MessageBox(NULL,"现在调用的是替换后的API!","",MB_OK);
31. ((PFNMESSAGEBOX)g_addr)(NULL,"哈哈，现在终于轮到你了","",MB_OK);
32. return ;
33. }
34. pThunk++;
35. }
36. pImport++;
37. }
38. MessageBox("没有找到该函数!");
39. }

WriteProcessMemory(GetCurrentProcess(),ppfn,&pfnNew,4,&num);

此函数用于修改内存。实现用MyMessagebox的地址替换MessageBox的地址。关于此函数的功能请参考MSDN。

((PFNMESSAGEBOX)g_addr)(NULL,"哈哈，现在终于轮到你了","",MB_OK);

此句用于调用在拦截之前MessageBox的地址。此处的调用是调用的MessageBox函数，而不是MyMessageBox函数。

至此关于修改导入段拦截API介绍完毕。