#include?“StdAfx.h“
#include?“ModifyProcessPath.h“

namespace?MODIFY_PROCESS
{
	wchar_t?m_szModulePath[MAX_PATH];
	DWORD??dwGetModuleFileNameWAddress;
	DWORD??dwModulebaseAddress;
	//E9?（目標(biāo)地址-當(dāng)前地址?-?5）
#pragma?pack（1）
	typedef?struct?_JMPCODE
	{
		BYTE?bJmp;
		DWORD?dwAddr;
	}JMPCODE*LPJMPCODE;	
#pragma?pack（）
	DWORD?WINAPI?MGetModuleFileNameW（HMODULE?hModulewchar_t?*?lpFilenameDWORD?nSize）;
};

using?namespace?MODIFY_PROCESS;


//?為了不影響在進(jìn)程內(nèi)使用??GetModuleFileNameW?，故hook之，返回正確的路徑。
DWORD?WINAPI?MODIFY_PROCESS::MGetModuleFileNameW（HMODULE?hModulewchar_t?*?lpFilenameDWORD?nSize）
{
	typedef?DWORD（WINAPI?*MGetModuleFileNameWT）（HMODULELPWCHDWORD）;
	MGetModuleFileNameWT?pMGetModuleFileNameW;
	pMGetModuleFileNameW?=?（MGetModuleFileNameWT）dwGetModuleFileNameWAddress;
	

	if（hModule?==?NULL?||?hModule?==（HMODULE）MODIFY_PROCESS::dwModulebaseAddress）
	{
		StringCbCopyW（lpFilenamenSizem_szModulePath）;
		return?wcslen（m_szModulePath）;
	}
	return?pMGetModuleFileNameW（hModulelpFilenamenSize）;
}


CModifyProcessPath::CModifyProcessPath（）
{

}

BOOL?CModifyProcessPath::Create（）
{
	ZeroMemory（MODIFY_PROCESS::m_szModulePathsizeof（MODIFY_PROCESS::m_szModulePath））;
	MODIFY_PROCESS::dwGetModuleFileNameWAddress=0;
	MODIFY_PROCESS::dwModulebaseAddress?=（DWORD）GetModuleHandle（NULL）;

	GetModuleFileNameW（NULLMODIFY_PROCESS::m_szModulePathMAX_PATH）;

	DWORD?lpAPIName?=?（DWORD）GetProcAddress（LoadLibrary（“kernel32.dll“）“GetModuleFileNameW“）;
	if（lpAPIName==NULL）
		return?FALSE;
	
	dwGetModuleFileNameWAddress??=（DWORD）VirtualAllocEx（
		（LPVOID）-1
		NULL
		sizeof（JMPCODE）+sizeof（JMPCODE）
		MEM_COMMIT
		PAGE_EXECUTE_READWRITE）;
	
	if（dwGetModuleFileNameWAddress?==NULL）
		return?FALSE;
	
	
	//去掉內(nèi)存保護(hù)?可以寫入代碼
	DWORD?dwOldProtect=NULL;
	if（!VirtualProtect（（LPVOID）lpAPINamesizeof（JMPCODE）PAGE_EXECUTE_READWRITE&dwOldProtect））
		return?FALSE;
	
	
	//保存前5個(gè)字節(jié)
	BYTE?szOldCode[5];
	CopyMemory（（LPVOID）szOldCode（LPVOID）lpAPINamesizeof（szOldCode））;
	
	//構(gòu)建代碼?
	JMPCODE?JmpCode;
	JmpCode.bJmp?=?0xE9;
	//地址計(jì)算公式?目標(biāo)地址-當(dāng)前地址?-?5
	JmpCode.dwAddr?=?（DWORD）MGetModuleFileNameW?-?lpAPIName?-5;
	
	//寫代碼
	CopyMemory（（LPVOID）lpAPIName&JmpCodesizeof（JMPCODE））;
	
	//恢復(fù)內(nèi)存屬性
	DWORD?dwNewProtect=NULL;
	//這里就不判斷了。
	VirtualProtect（（LPVOID）lpAPINamesizeof（JMPCODE）dwOldProtect&dwNewProtect）;
	
	CopyMemory（（LPVOID）dwGetModuleFileNameWAddressszOldCodesizeof（szOldCode））;
	JMPCODE?NewJmpCode;
	NewJmpCode.bJmp?=?0xE9;
	//地址計(jì)算公式?目標(biāo)地址-當(dāng)前地址?-?5
	NewJmpCode.dwAddr?=?lpAPIName-（dwGetModuleFileNameWAddress+sizeof（szOldCode））;//+5下一條指令
	//寫入指令
	CopyMemory（（LPVOID）（dwGetModuleFileNameWAddress+sizeof（szOldCode））&NewJmpCodesizeof（JMPCODE））;
	return?TRUE;
}


//szPath?需要偽裝的路徑
BOOL?CModifyProcessPath::ModifyProcessPath（LPCTSTR?szPath）
{
	//?獲取NTDLL.DLL的基址
	/*NTDLL.DLL*/
	CHAR?szNTDLL[10]={0x4E0x540x440x4C0x4C0x2E0x440x4C0x4C0x11};
	szNTDLL[9]=0x00;
	
	HMODULE?hModule?=?GetModuleHandle（