如何修改驱动程序iat表

我们知道pe文件有输入表（IAT）, 应用层的可运行程序和驱动程序都是pe格式的。

应用层加壳去壳技术中经常用到修改IAT技术完成HOOK，这方面的技术可以到看雪论坛，那里有这方面的技术介绍。

驱动程序既然是PE文件，也可以修改IAT，完成KERNEL的FUNCTION HOOK。但是驱动程序由一个特点是在完成驱动LOAD后，会清空输入数据，那么该如何修改IAT呢？

方法：可以读取磁盘上的导出FUNCTION的文件，获取导出FUNCTION的RAV，然后修正驱动程序中的IAT表相应的FUNCTION地址,完成HOOK技术。

hehe~