使用UnhookMe分析惡意軟體中未受監控的系統調用問題

工具下載下傳

廣大研究人員可以使用下列指令将該項目源碼克隆至本地：

git clone https://github.com/mgeeky/UnhookMe.git      

工具使用

我們總共需要在自己的解決方案中引入五個C++源檔案/頭檔案。不過，你的主程式檔案僅需要引入兩個必要的頭檔案即可，檔案描述如下：

resolver.h - 頭檔案中包含了UnhookingImportResolver的大部分實作；

resolver.cpp - 包含了全局選項的源代碼；

usings.h - 一個非常大的頭檔案，包含了針對常見Windows API的using類型定義；

PE.cpp - 自定義PE解析器源代碼檔案；

PE.h - 自定義PE解析器源頭檔案；

必要的頭檔案

你的程式僅需要下列兩個必要的頭檔案：

#include "usings.h"
#include "resolver.h"      

全局選項

下面給出的是解析器的全局配置選項，我們可以根據自己的需要來進行修改，這些參數全部定義在resolver.cpp檔案中：

globalQuietOption - 如果你不想擷取輸出，則設定為true；

globalVerboseOption - 如果你想要擷取詳細的Verbose輸出，則設定為true；

globalAntiSplicingOption - 解除函數鈎子；

globalLogFilePath - 重定向輸出日志；

bool globalQuietOption = false;
bool globalVerboseOption = true;
bool globalAntiSplicingOption = true;
wchar_t globalLogFilePath[MAX_PATH] = L"";