-
-
[原创]ring3 inline 钩子库
-
发表于: 2010-11-27 17:49
-
虽然已经有Detour等一批优秀的钩子实现库了，本着学习的原则还是弄了一下，参考了海风月影大神的挂钩库，汇编就学了个皮毛，大侠飘过，提供给需要的人参考参考……
这个库的优点：原始函数地址会作为第一个参数传递给Detour函数，Detour函数的后面参数和原始函数一致，所以很方便实现调用前过滤和调用后过滤，反正就是使用很简单，也不需要自己记录原始函数地址了。为了方便移植到内核里使用，专门增加了fastcall的处理……先上一个例子，原始代码见附件了,看了例子就知道使用有多么简单了……
说一下那个Stub为啥不需要pushad之类的现场保护指令
__asm
{
pop eax
push OLD_CODE
push eax///如果使用其它的寄存器可能会失败，一般是在eax里面返回数据，所以这个可以随便用
_emit 0xE9这个E9指令就是JMP指令，JMP过去的那个函数自己破坏的现场编译器自己会很好的进行保存，那个函数给上层函数暴露的相当于一个标准的API函数，也就是说现场不会因为中途调用了这个函数而被破坏。而原始函数暴露给这个中继函数的也是一个标准的函数，和API无异，所以Detour直接调用不会有什么问题。当然这个库只能用于Release版本，道理很明显，在Debug里面，给出函数名最后编译得到的不是函数的开头地址，而是一个中继地址
多个nop
OLD_CODE:
_emit 0xCC
nop
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
记得好像hooklib0.5要改一个RWE的内存属性,不然debug版本会出错
|
|
|
|
|
|
|
|
|
mark了
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
以下是我的实验结果。也许是对楼主的LIB理解上有点问题。HOOK效果不尽人意。
实验代码：
void thistest()
{
cout<<"in this test..."<<endl;
}
void mytest()
{
cout<<"in my test"<<endl;
}
int _tmain(int argc, _TCHAR* argv[])
{
thistest();
HOOK_INFO Info={0};
InstallInlineByAddress((void*)thistest,mytest,&Info);
thistest();
}
情景分析： thistest被HOOK之前： 00403BD0 /$ 56 push esi 00403BD1 |. 57 push edi 00403BD2 |. 68 DCF54100 push 封装测试.0041F5DC ; in this test... 00403BD7 |. 68 F0414200 push 封装测试.004241F0 HOOK之后： 00403BD0 /$- E9 2BC4FBFF jmp 003C0000 003C0000 58 pop eax 003C0001 68 0D003C00 push 3C000D ; ASCII "VWh荃A" 003C0006 50 push eax 003C0007 - E9 A41E0400 jmp 封装测试.00401EB0 003C000C 90 nop 003C000D 56 push esi 003C000E 57 push edi 003C000F 68 DCF54100 push 41F5DC ; ASCII "in this test..." 003C0014 - E9 BE3B0400 jmp 封装测试.00403BD7 我想，原来HOOK_BUF的意图可能是要先执行钩子函数，再回来执行原来的函数体。 但是事实情况是没有。而且堆栈还因为多了一个push造成不平衡  我想，楼主把push RETS与push eax的位置放反了吧？？ InstallInlineForFastCall的情况类似。 作为一个hooklib，当HOOK一段内存代码X时，应该让用户自由选择这段X先于钩子函数执行或后于钩子函数执行。 另外我再提一下我之前说过的问题，标志位。 如果这时我的钩子函数如下： 0100739D notepad.<ModuleEntryPoint> 8B45 08 mov eax, dword ptr [ebp+8] ; notepad.<ModuleEntryPoint> 010073A0 40 inc eax 010073A1 40 inc eax 010073A2 C3 retn 且不管我提供的HOOK函数有多诡异，它改变了寄存器EAX，用户提供多么诡异的钩子HOOKLIB都得接受，不是吗，呵呵。 而HOOK的原始地址代码片断如下： 010073A4 85D2 test edx, edx 010073A6 8B4D 08 mov ecx, dword ptr [ebp+8] 010073A9 74 10 je short notepad.010073BB 再假设这时线程环境，edx==0，eax==0 这时候，按照你生成的jmp，成功jmp进入钩子函数。 进入前Z标志位被置位，接下来的程序流程应该进入010073BB的。 但是由于钩子函数内部改变了Z标志。 所以，当钩子回来以后，程序流程变了。 编译器不会像你所说的，保护所有环境，至少，eax,ecx,edx都是自由的。编译器对它们并无明确保证。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
谢谢分享！！！海风月影大神的挂钩库， 能否给个链接喃
|
|
|
|
|
|
|
|
|
|
