#define   WIN32_LEAN_AND_MEAN  
#define   _WIN32_WINNT   0x400  
#include   <stdio.h>  
#include   <tchar.h>  
#include   <locale.h>  
#include   <windows.h>  
#include   <psapi.h>  
#include   <Tlhelp32.h>  

#pragma   comment   (lib,   "psapi.lib")  

//  
//   Thread   Information   Classes  
//  

typedef   enum   _THREADINFOCLASS   {  
ThreadBasicInformation,  
ThreadTimes,  
ThreadPriority,  
ThreadBasePriority,  
ThreadAffinityMask,  
ThreadImpersonationToken,  
ThreadDescriptorTableEntry,  
ThreadEnableAlignmentFaultFixup,  
ThreadEventPair_Reusable,  
ThreadQuerySetWin32StartAddress,  
ThreadZeroTlsCell,  
ThreadPerformanceCount,  
ThreadAmILastThread,  
ThreadIdealProcessor,  
ThreadPriorityBoost,  
ThreadSetTlsArrayAddress,  
ThreadIsIoPending,  
ThreadHideFromDebugger,  
ThreadBreakOnTermination,  
MaxThreadInfoClass  
}   THREADINFOCLASS;  

typedef   struct   _CLIENT_ID   {  
HANDLE   UniqueProcess;  
HANDLE   UniqueThread;  
}   CLIENT_ID;  
typedef   CLIENT_ID   *PCLIENT_ID;  

typedef   struct   _THREAD_BASIC_INFORMATION   {   //   Information   Class   0  
LONG           ExitStatus;  
PVOID         TebBaseAddress;  
CLIENT_ID   ClientId;  
LONG   AffinityMask;  
LONG   Priority;  
LONG   BasePriority;  
}   THREAD_BASIC_INFORMATION,   *PTHREAD_BASIC_INFORMATION;  

extern   "C"   LONG   (__stdcall   *ZwQueryInformationThread)   (  
IN   HANDLE   ThreadHandle,  
IN   THREADINFOCLASS   ThreadInformationClass,  
OUT   PVOID   ThreadInformation,  
IN   ULONG   ThreadInformationLength,  
OUT   PULONG   ReturnLength   OPTIONAL  
)   =   NULL;  

extern   "C"   LONG   (__stdcall   *RtlNtStatusToDosError)   (  
IN     ULONG   status)   =   NULL;  

BOOL   ShowThreadInfo   (DWORD   tid)  
{  
THREAD_BASIC_INFORMATION         tbi;  
PVOID                                               startaddr;  
LONG                                                 status;  
HANDLE                                             thread,   process;  

thread   =   ::OpenThread   (THREAD_ALL_ACCESS,   FALSE,   tid);  
if   (thread   ==   NULL)  
   return   FALSE;  

status   =   ZwQueryInformationThread   (thread,    
   ThreadQuerySetWin32StartAddress,    
   &startaddr,    
   sizeof   (startaddr),    
   NULL);  

if   (status   <   0)  
{  
   CloseHandle   (thread);  
   SetLastError   (RtlNtStatusToDosError   (status));  
   return   FALSE;  
};  

_tprintf   (TEXT   ("线程   %08x   的起始地址为   %p\n"),    
   tid,    
   startaddr);  

status   =   ZwQueryInformationThread   (thread,    
   ThreadBasicInformation,    
   &tbi,    
   sizeof   (tbi),    
   NULL);  

if   (status   <   0)  
{  
   CloseHandle   (thread);  
   SetLastError   (RtlNtStatusToDosError   (status));  
   return   FALSE;  
};  

_tprintf   (TEXT   ("线程   %08x   所在进程ID为   %08x\n"),    
   tid,    
   (DWORD)tbi.ClientId.UniqueProcess);  

process   =   ::OpenProcess   (PROCESS_ALL_ACCESS,    
   FALSE,    
   (DWORD)tbi.ClientId.UniqueProcess);  

if   (process   ==   NULL)  
{  
   DWORD   error   =   ::GetLastError   ();  
   CloseHandle   (thread);  
   SetLastError   (error);  
   return   FALSE;  
};  

TCHAR   modname   [0x100];  
::GetModuleFileNameEx   (process,   NULL,   modname,   0x100);  

_tprintf   (TEXT   ("线程   %08x   所在进程映象为   %s\n"),    
   tid,    
   modname);  

GetMappedFileName(process,    
   startaddr,    
   modname,    
   0x100);  

_tprintf   (TEXT   ("线程   %08x   可执行代码所在模块为   %s\n"),    
   tid,    
   modname);  

CloseHandle   (process);  
CloseHandle   (thread);  
return   TRUE;  
};  

int   main   (void)  
{  
setlocale   (LC_ALL,   ".ACP");  

HINSTANCE   hNTDLL   =   ::GetModuleHandle   (TEXT   ("ntdll"));  

(FARPROC&)ZwQueryInformationThread     =  
   ::GetProcAddress   (hNTDLL,   "ZwQueryInformationThread");  

(FARPROC&)RtlNtStatusToDosError           =  
   ::GetProcAddress   (hNTDLL,   "RtlNtStatusToDosError");  

HANDLE   h   =   CreateToolhelp32Snapshot   (TH32CS_SNAPTHREAD,   0);  
THREADENTRY32   te;  
te.dwSize   =   sizeof   (te);  
if   (Thread32First   (h,   &te))  
{  
   do  
   {  
    if   (ShowThreadInfo   (te.th32ThreadID))  
    {  
    }  
    else  
    {  
     _tprintf   (TEXT("无法获得线程   %08x   的相关信息，错误代码为   %d\n"),    
      te.th32ThreadID,   GetLastError   ());  
    };  
   }   while   (Thread32Next   (h,   &te));  
};  
CloseHandle   (h);  
}

1. LoadLibrary函数这一次失败了，下一次系统还是会去尝试加载它。看起来可能会影响效率，但是即使你不让它失败，每次有消息的时候，系统也是会去调用那个钩子过程的，哪种方法更影响效率呢？这就不知道了，呵呵；
2. 怎 么知道什么时候让LoadLibrary失败呢？不能都让它失败吧，这样会死的很惨的:(.经过研究发现，正常的加载dll函数调用都是从 kernel32.dll中来的，而只有加载钩子过程是在user32.dll中进行的(winxp系统下，以后的不知道是否也是这样)。我们可以判断一 下LoadLibrary函数的返回地址，如果是在user32.dll的地址空间，就认为是钩子dll的加载，直接返回0就可以了。

　　然后就来谈谈我们的API拦截。因为user32.dll中是用的LoadLibraryExW来加载钩子dll的，所以我们只需要拦截这么一个函数就可以了。分成三个步骤：

1. 提供一个替代LoadLibraryExW的函数，假设名字叫newLoadLibraryExW，注意，函数原型要和LoadLibraryExW一模一样，本进程内所有对LoadLibraryExW的调用都会转到这儿来；

   HMODULE WINAPI newLoadLibraryExW(LPCWSTR lpLibFileName,HANDLE hFile,DWORD dwFlags)
   {
    //获取函数的返回地址参考文章最后的注1
    DWORD dwCaller;
    __asm push dword ptr [ebp+4]
    __asm pop  dword ptr [dwCaller] 
    
    //判断是否是从User32.dll调用的
    //m_dwUser32Low和m_dwUser32Hi保存user32.dll的加载地址的上下限
    if(dwCaller > m_dwUser32Low && dwCaller < m_dwUser32Hi)
    {
      //TRACE something hint infomation
      return 0;
    }
    return rawLoadLibraryExW(lpLibFileName,hFile,dwFlags);
   }

2. 提供一块空间，假设这块空间的起始地址是fakeLoadLibraryExW，把LoadLibraryExW函数前N个字节保存下来，然后再用一个jmp指令跳回（LoadLibraryExW＋N）地址处继续执行，在这里，N取7，具体原因在下边讲；
3. 修改LoadLibraryExW函数的前5个字节，用一个jmp 指令跳到我们的newLoadLibraryExW函数起始处。虽然这里只用了5个字节，但是我们先看一下LoadLibraryExW函数的前两条指令：

//你机器上的版本具体的数字可能和我的不一样
push 34h?//6A 34
push 7C80E288h?//68 88 E2 80 7C

　　一共有7个字节，我们不能只修改前5个字节，然后从fakeLoadLibraryExW函数跳到第6个字节处开始执行，而要跳到第三条指令即第8个字节开始处，这就是上一步N为什么取7的原因。画个图示意一下，修改前：

修改后：

以下是封装的一个类，使用时定义一个该类的全局变量，调用一下PatchLoadLibrary函数即可。

//***********************************************************************************//
//  FileName : GBlockHookDll.h                    
//  Author ：耿海增            
//  Date : 2006.10.07                  
//***********************************************************************************//

#pragma once

#include 
#pragma comment(lib,"psapi.lib")

class GBlockHookDll
{
public:
 GBlockHookDll()
 {
      MODULEINFO user32ModInfo = {0};
 
      //获取user32.dll的加载基址和映象大小  
      GetModuleInformation(GetCurrentProcess(),GetModuleHandle("user32.dll"),&user32ModInfo,sizeof(user32ModInfo));
      m_dwUser32Low = (DWORD)user32ModInfo.lpBaseOfDll;
      m_dwUser32Hi = (DWORD)user32ModInfo.lpBaseOfDll+user32ModInfo.SizeOfImage;
 }
 void PatchLoadLibrary()
 {
      //LoadLibraryExW
      //7C801AF1 6A 34                push        34h
      //7C801AF3 68 88 E2 80 7C       push        7C80E288h
      LPVOID* pfnRaw = (LPVOID*)&rawLoadLibraryExW;
      LPVOID fnNew = (LPVOID)newLoadLibraryExW;
      BYTE* fnRaw = (BYTE*)*pfnRaw;
      //1 save the first 7 bytes
      const int nFirstBytes = 7;
      BYTE* fnFake = (BYTE*)fakeLoadLibraryExW;
      memcpy(fnFake,*pfnRaw,nFirstBytes);
      fnFake[nFirstBytes] = 0xE9;      //jmp to rawAddr+nFirstBytes
      *(UINT32*)(fnFake + nFirstBytes+1) = (UINT32)fnRaw+nFirstBytes - (UINT32)(fnFake + nFirstBytes + 5);
      //2 modify the raw to jmp to fnNew
      DWORD dwOldProtect = 0;
      VirtualProtect(fnRaw,nFirstBytes,PAGE_READWRITE,&dwOldProtect); //修改该代码段的属性为可写
      *fnRaw = 0xE9;
      *(UINT32*)(fnRaw+1) = (UINT32)fnNew - (UINT32)(fnRaw + 5);
      VirtualProtect(fnRaw,nFirstBytes,dwOldProtect,0);
      //3 change the rawPointer
      *pfnRaw = fnFake;
 }
private: 
 static HMODULE WINAPI newLoadLibraryExW(LPCWSTR lpLibFileName,HANDLE hFile,DWORD dwFlags)
 {
      //get the return address
      DWORD dwCaller;
      __asm push dword ptr [ebp+4]
      __asm pop  dword ptr [dwCaller]
      if(dwCaller > m_dwUser32Low && dwCaller < m_dwUser32Hi)
      {
 #ifdef _DEBUG
       UINT uLenWide = lstrlenW(lpLibFileName);
       char* pNewChar = new char[uLenWide + 1];
       memset(pNewChar,0,uLenWide+1);
       WideCharToMultiByte(CP_ACP,0,lpLibFileName,-1,pNewChar,uLenWide,NULL,NULL);
       TRACE2(".......................LoadLibrary:return addr 0x%x,%s ",dwCaller,pNewChar);
       TRACE("Blocked.......................\n");
       delete []pNewChar;
 #endif
       return 0;
      }
      return rawLoadLibraryExW(lpLibFileName,hFile,dwFlags);
 }
private:
 static DWORD m_dwUser32Low;        //user32.dll 的加载基址
 static DWORD m_dwUser32Hi;        //user32.dll 的加载基址＋ImageSize
 static BYTE  fakeLoadLibraryExW[12]; //save first bytes of the raw function,and jmp back to that function
 //保存LoadLibraryExW的指针，然后修改为fakeLoadLibraryExW
 static HMODULE (WINAPI *rawLoadLibraryExW)( LPCWSTR lpLibFileName, HANDLE hFile, DWORD dwFlags );
};
DWORD GBlockHookDll::m_dwUser32Low = 0;
DWORD GBlockHookDll::m_dwUser32Hi  = 0;
BYTE GBlockHookDll::fakeLoadLibraryExW[12] = {0};
HMODULE (WINAPI *GBlockHookDll::rawLoadLibraryExW)(LPCWSTR lpLibFileName,HANDLE hFile,DWORD dwFlags) = LoadLibraryExW;

push ebp
mov ebp,esp