超簡単！phishing詐欺(5)

program

まずはIEをhookすることが出来るか、というところからだ。これが出来なければ、nProtectがどうのとか以前の問題だ。実は、IEをhookするには、HookConnectとは違った方法が要求される。その理由は以下の3つ。


1) HookConnectが乗っ取るのは Winsockのdll(ws2_32.dll)の connect なのだが、IEはこれを直接は読み込まず、wininet.dll を経由して読み込む。
2) さらにその wininet.dllを遅延ロードする。
3) 最後に、ws2_32.libには、関数名が DLL に記録されていない。（Ordinalのみ）
(このため、ApiHijack では手を加えないと乗っ取れない。)


この 3つにより、IEをhookするには別のアプローチが必要になる。まあ、それはそれ。やねう解析チームに不可能の文字はないので、ささっとやってのけた。(つづく)