这篇文章是有关在OS Windows下挂钩API函数的方法。所有例子都在基于NT技术的Windows版本NT 4.0及以上有效(Windows NT 4.0, Windows 2000, Windows XP)。可能在其它Windows系统也会有效。 你应该比较熟悉Windows下的进程、汇编器、PE文件结构和一些API函数，才能明白这篇文章里的内容。 这里使用\"Hooking API\"这个术语表示对API的完全修改。当调用被挂钩的API时，我们的代码能立刻被执行。我将写下完全

IN OUT PVOID　　　　　　　　　　SystemInformation, IN　　 ULONG　　　　　　　　　　SystemInformationLength, OUT　　 PULONG　　　　　　　　 ReturnLength OPTIONAL)； NTQUERYSYSTEMINFORMATION NtQuerySystemInformation； 从中可以看到，SystemInformationClass是一个类型信息，它大概提供了50余种信息，也就是我们可以通过这个函数对大约50

ring3下的IAT HOOK,IAT是一个IMAGE_THUNK_DATAj结构的数组。只要程序装载进内存中，就只与IAT查询信息，所以可见IAT表是一个非常重要的位置。 如果在IAT表中把某个函数的地址修改为钩子函数的地址，当调用到函数的时候，就会执行到该钩子函数中去 -the ring3 under IAT HOOK, IAT is a IMAGE_THUNK_DATAj structure array. As long as the program is loaded into