API Hook检测方式

API Hook：在Windows系统中，大量的功能都是通过系统API提供的。API Hook技术就是拦截API调用，从而实现对程序的控制。API Hook技术可以通过修改IAT表来实现。

IAT（Import Address Table），是Windows系统用来存储程序在运行时需要调用的动态链接库（DLL）函数地址的数据结构。IAT表中的函数地址是由操作系统在程序加载时进行解析和填充的，具体的操作是找到程序需要调用的DLL和函数名称，并将这些信息写入到IAT表中。

API Hook的本质是修改IAT表中特定函数的函数地址，结合上文中介绍的IAT表形成方式，我们的API Hook检测方式也就很明晰了。
检测特定API是否存在API Hook,主要是对比IAT表中特定函数的函数地址func1,及我们使用GetProcAddress函数从对应dll中获取的函数地址func2是否相同，若不同，则说明该API被Hook了。

以下以timeGetTime API演示如何检测该函数是否被Hook了：

点击查看代码

FARPROC real_timeGetTime = GetProcAddress(LoadLibrary("winmm.dll"), "timeGetTime");
if (DWORD(timeGetTime) != (DWORD)real_timeGetTime)
{
	printf("Find Hook\n");
}