-
-
[原创]无需偷代码的API HOOK
-
发表于: 2013-5-1 00:45
-
hook api 实现的无非就是实现几种组合：
1：hook api执行自己的函数 + 执行原API + 恢复hook
2：hook api执行自己的函数 + 不执行原API + 恢复hook
3：hook api执行自己的函数 + 执行原API + 不恢复hook
4：hook api执行自己的函数 + 不执行原API + 不恢复hook
你想到的肯定是直接把hook api头部的5个byte偷到自己的函数里执行,这种方法的确可以 不过会有几个问题 ,假设api头部 2 条指令 4byte 3条指令 6byte 你只偷了5个字节的话肯定是不行的 得偷6个字节,
方法就是用反汇编引擎确定字节, 用户层还好毕竟不差那么点代码,驱动层就麻烦了,哪经得起这种奢侈，所以用反汇编引擎始终不是办法
我的解决方法
1:hook前保存hook函数的5个byte //无论什么方法hook 这步肯定是必须的
2:修改要hook的api第一个byte为0e9就是far jmp 其实也可以修改成0e8h 不过需要用汇编
3:修改后面4字节为offset 需要计算 自己函数地址-API地址-5
4:现在已经完成hook了 可以在自己函数里解决上面那几种方法了
4.1: hook api执行自己的函数 + 执行原API + 恢复hook?
在自己的函数里首先恢复hook api头部的5个字节
执行自己的代码
执行原api
4.2:hook api执行自己的函数 + 不执行原API + 恢复hook?
在自己的函数里首先恢复hook api头部的5个字节
执行自己的代码
4.3:hook api执行自己的函数 + 执行原API + 不恢复hook?
在自己的函数里首先恢复hook api头部的5个字节
执行自己的代码
执行原api
hook原api
4.4:hook api执行自己的函数 + 不执行原API + 不恢复hook?
在自己的函数里首先恢复hook api头部的5个字节
执行自己的代码
执行原api
hook原api
可能我的表达能力有点让人无奈,看不懂我说的话没关系看代码,我尽量写的简洁了,只为了表达一个思路
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
你说和我的前几天一个朋友说的差不多,
假如多线程不同步完全是程序员的失误否则微软能解决的话直接帮我们把问题解决就行了 , 互斥体.锁 这些东西也就没存在的必要了 |
|
|
|
|
|
直接修改IAT 达到 Hook
  |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
lz 会说，怕啥，不是有 hotpatch ，哈哈哈
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
好了 这俩个演示了上面所说的多线程问题 和 什么无法搞定 push ebp xxx call xxx 问题
好了 我不在回答傻问题了 会者自会吧
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
