IAT Hook是在PE加载器解析DLL导入后、程序首次调用前，修改导入地址表中函数指针指向自定义函数的技术；它仅拦截静态导入（隐式链接）的API调用，无法拦截LoadLibrary/GetProcAddress等动态调用。
什么是IAT Hook，它能拦截哪些调用
IAT Hook 是在 Windows PE 加载器完成 DLL 导入解析后、程序首次调用前，修改可执行文件的导入地址表（Import Address Table）中对应函数指针，使其指向自定义函数的技术。它只对通过 __declspec(dllimport) 或隐式链接（即 #pragma comment(lib, "xxx.lib") + 直接调用 DLL 导出函数）的调用生效，不适用于 LoadLibrary + GetProcAddress 的显式调用。
常见误判是以为它能 hook 所有同名函数——实际上，如果目标函数没出现在当前模块的 IAT 中（比如被内联、被编译器优化掉、或来自延迟加载 DLL 且尚未触发解析），hook 就不会生效。
- 必须确保目标 DLL 已被加载，且其导出函数确实在当前模块的 IAT 条目中
- 仅影响当前模块对目标函数的调用，不影响其他模块（除非你遍历所有模块并 patch 它们的 IAT）
- 不能用于拦截系统 DLL 的导出函数（如
kernel32.dll的CreateFileA），除非你 hook 的是自己的 EXE 或 DLL 模块的 IAT
如何定位并修改 IAT 中的目标函数地址
核心步骤是：找到当前模块的 PE 头 → 定位 IMAGE_IMPORT_DESCRIPTOR 数组 → 遍历每个导入模块的 IAT（FirstThunk 字段指向的地址）→ 对比函数名 → 替换对应条目为你的函数地址。
关键点在于权限控制：VirtualProtect 必须将 IAT 所在页设为 PAGE_READWRITE，否则写入会触发访问违例；patch 完毕后建议恢复原保护属性。
立即学习“C++免费学习笔记（深入）”；
- 使用
GetModuleHandle(NULL)获取当前模块句柄，再用ImageNtHeader解析 PE 结构 - IAT 地址是 RVA，需加上模块基址转换为 VA；常用辅助宏：
IMAGE_FIRST_SECTION(ntHeader)和RVA2VA手动计算 - 函数名匹配推荐用
strcmp比较IMAGE_IMPORT_BY_NAME::Name，而非序号（序号不稳定且不通用） - 务必校验
FirstThunk和OriginalFirstThunk是否非零，某些编译器（如 /DELAYLOAD）可能让它们为空
示例片段（简化）：
// 假设已获取 pIAT 指向目标函数在 IAT 中的地址 DWORD oldProtect; VirtualProtect(pIAT, sizeof(void*), PAGE_READWRITE, &oldProtect); void* original = InterlockedExchangePointer(pIAT, (void*)MyHookedFunc); VirtualProtect(pIAT, sizeof(void*), oldProtect, &oldProtect);
为什么用 InterlockedExchangePointer 而不是直接赋值
直接写 *pIAT = MyHookedFunc 在多线程环境下存在竞态风险：若某线程正执行到该 IAT 条目对应的 call 指令中间，而你刚好在此刻修改指针，可能导致跳转到非法地址或部分写入的垃圾值。
InterlockedExchangePointer 提供原子写入保证，且在 x86/x64 上生成单条 xchg 或 mov + mfence 级别指令，避免指令重排和撕裂写入。这是生产环境必须采用的方式。
- 不要用
std::atomic_store替代——它依赖运行时支持，且在早期 MSVC 或裸 Win32 项目中可能未启用 C++11 内存模型 - 若 hook 过程需多次修改（例如先保存原函数指针再替换），应确保整个操作序列的原子性边界清晰，必要时加临界区
- 注意：IAT 条目本身是 8 字节（x64）或 4 字节（x86），
InterlockedExchangePointer自动适配平台宽度
常见失败原因与调试技巧
最常遇到的是“hook 后函数没被调用”或“程序崩溃”，多数源于 IAT 定位错误或权限未正确设置。调试时优先验证三件事：IAT 地址是否真实可写、目标函数名是否拼写一致、原函数指针是否被意外覆盖。
- 用
dumpbin /imports your.exe确认目标函数是否列在导入表中；若没出现，说明编译器可能将其内联或优化掉了 - 用
VirtualQuery检查 IAT 所在内存页的当前保护属性，确认MEM_COMMIT | PAGE_READWRITE已生效 - hook 后立即用
GetThreadContext或断点检查调用栈，确认执行流确实进入了你的 hook 函数，而非跳过 - 若 hook 的是 C++ 成员函数，注意 thiscall 调用约定差异——IAT 存储的是自由函数地址，成员函数需包装为 static 或使用 thunk（如 inline asm 或
__declspec(naked)）
真正麻烦的是延迟加载 DLL（/DELAYLOAD）：它的 IAT 条目初始为跳转到延迟加载存根，首次调用才解析真实地址。此时你需要 hook 存根，或等待首次调用后再 patch 实际 IAT 条目——这要求更精细的时机控制。
