🚀 go-pugleaf

> W jaki sposób wykryć, czy program wywołał jakąś funkcję ...

Podam przykład w C (Borland C++ 5.5.1). Przetłumacz to sobie na ASM.

1) Utwórz plik definicyjny zawierający funkcje WinAPI,
   które chcesz podglądać, np:

   ; MYIMPORT.DEF
   ;
   LIBRARY kernel32.dll
   EXPORTS
      MyExitProcess      = ExitProcess
      MyTerminateProcess = TerminateProcess

2) Utwórz blbliotekę tak przedefiniowanych funkcji:

   implib.exe myimport.lib myimport.def

Biblioteka MYIMPORT.LIB zawiera moduły My... udostępniające
publiczne funkcje o takich samych nazwach My...
Moduły zawierają rekordy COMMENT (0x88) Class IMPDEF (0xa0).
Można je utworzyć też innymi metodami, ale wydaje mi się,
że przedstawiony sposób jest najprostszy.
Dołącz bibliotekę jako pierwszą na liście konsolidacji.

3) Podglądaj do woli, np:

#include <windows.h>

// ...
ExitProcess(0);
// ...

WINBASEAPI DECLSPEC_NORETURN VOID WINAPI ExitProcess(IN UINT uExitCode)
{
   extern WINBASEAPI DECLSPEC_NORETURN VOID WINAPI
      MyExitProcess(IN UINT uExitCode);

   MessageBox(NULL, "A kuku !", "", MB_OK);
   MyExitProcess(uExitCode);
}

BTW  Próba bezpośredniego użycia pliku MYIMPORT.DEF jako parametru
     ilink32 okazała się nieskuteczna (może ktoś wie dlaczego ?)

Pozdrawiam
-- 
   Franciszek Bałaban