前言
自己从高中那时对黑客比较感兴趣，那时候去过很多论坛学所谓的“黑客技术”。同时也经常在一些QQ群，论坛里混，但见效甚微。
因为我很喜欢玩游戏，上大学后，同学们都发疯似的玩一款游戏—三国杀，现在玩的人已经很少了，被某公司抄袭后垄断了。由于当时学业繁重，然后自己又爱面子，所以在想如何学业不落下的同时游戏等级也能比别人高，上网找到了一款三国杀的刷分软件。兴高采烈得打开准备刷分，用了一天之后就不能用了，30元一个月的收费标准，穷学生哪能舍得啊？于是想找人破解，但转念一想，谁会帮你破解呢？还是自己来吧~自己动手，丰衣足食。上网+图书馆疯狂找资料，花了一个周末，把这个软件KO了，当时是高兴死了。那种成就感和兴奋感恐怕也只有亲身试过的人才知道。很快就刷到了150级了，比整天玩游戏的同学等级还要高，在满足了我虚荣心的同时也带我走向了逆向之门，或许这就是一种缘分吧。
好了，背景就不多说了。今天和大家一起学习一下C++中的HOOK API技术。相信大家都知道这是逆向PJ中的一个特别重要也是实用的技术。(*^__^*)
一、        Hook介绍
钩子(Hook)，是Windows消息处理机制的一个平台,应用程序可以在上面设置子程以监视指定窗口的某种消息，而且所监视的窗口可以是其他进程所创建的。当消息到达后，在目标窗口处理函数之前处理它。钩子机制允许应用程序截获处理window消息或特定事件。
我们知道Windows系统API函数都是被封装到DLL中，在某个应用程序要调用一个API函数的时候，如果这个函数所在的DLL没有被加载到本进程中则加载它，然后保存当前环境（各个寄存器和函数调用完后的返回地址等）。接着程序会跳转到这个API函数的入口地址去执行此处的指令。由此看来，我们想在调用真正的API之前先调用我们的函数，那么可以修改这个API函数的入口处的代码，使他先跳转到我们的函数地址，然后在我们的函数最后再调用原来的API函数。
简单来说HOOK API 可以理解成对程序将要执行系统函数的一个拦截， 拦截后执行自己写的代码以达到完成某种特定的目的，再恢复程序继续执行，很多PJ中的Patch 机器码，盗号木马等都是用这个方法。
二、        Hook API实战
OK，既然我们需要实现一个这样的一个HOOK。当然需要两样东西，一是目标程序，一是我们的代码。
1.        程序：
新建一个dll工程文件目录如图：

我们自己新建一个Add.def文件，然后添加到工程中即可，如图我是添加到Source Files里。
跟exe有个main或者WinMain入口函数一样，DLL也有它自己的一个入口函数，就是DllMain。
我们打开dllmain.cpp  代码如下：

// dllmain.cpp : Defines the entry point for the DLL application.
#include "stdafx.h"

int WINAPI add(int a, int b)
{
	return a + b;
}

BOOL APIENTRY DllMain(HANDLE hModule,
	DWORD  ul_reason_for_call,
	LPVOID lpReserved
	)
{
	return TRUE;
}

LIBRARY  Add
DESCRIPTION "ADD LA"
EXPORTS
add  @1;

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)