Подскажите, пожалуйста, какие есть способы перехвата функций Windows API (например, MessageBox) в сжатом (UPX) исполняемом файле.

P.S. Исполняемый файл подгружает мою Dll.

попробуй хук реализации функции сплайсингом

Как получить адрес функции в исполняемом модуле из DLL?

я говорю реализацию хукай, которая в user32.dll

Можно, пожалуйста, как-то поподробнее.

можно.
берешь адрес MessageBox. Если он указывает на какой-то из вариантов инструкции jmp, то берешь адрес куда эта инструкция джампает. проверяешь нет ли там в свою очередь еще одного джампа. и так до тех пор, пока не найдешь адрес собственно кода функции.
сохраняешь куда-то первые инструкции функции, записываешь на их место джамп на твой хук. когда нужно выполнить оригинальную функцию, ты вызываешь сохранённое начало, а потом джампаешь на код, который шел в оригинале сразу после него.
Как вариант можно вместо записи джампа в начало функции записать туда int3 или еще какую-то однобайтовую инструкцию, вызывающую исключение, а в векторном обработчике исключения вызывать хук. Это позволяет сохранять только первую инструкцию похуканной функции

А пример есть?

гуглится несложно по слову "сплайсинг"

Можно ли заменить функцию через таблицу импорта?

импорт же вроде upx скрывает. тогда уже правь таблицу экспорта дллки, но сделать это нужно до того как начнет работать экзешник. например запустить процесс замороженным, похукать и запустить.

А это можно сделать в моем случае, когда зажатый исполняемый файл сам загружает мою DLL. Это что типа нада ставит глобальный хук в другой dll?

И еще вопрос: UPX сокращает таблицу импорта до нескольких функций, но он, наверное, после запуска должен ее восстановить? Если это так, то можно к ней как-то обратиться и пропатчить нужный адрес функции?

Это сообщение отредактировал(а) DelDev - 6.9.2013, 21:58

Спасибо, но я спрашивал немного о другом.

Это сообщение отредактировал(а) DelDev - 7.9.2013, 18:23

Этого достаточно, чтобы перехватить любую функцию импортируемую приложением из любой dll. Неважно как приложение ее импортирует - через таблицу импорта, или через  LoadLibrary.
Ковырять таблицу импорта нужно только тогда, когда нужно перехватить ВСЕ используемые приложением функции. И то - необходимо только чтение таблицы импорта.