由于本人水平有限，错误之处难免，请大家不吝指正哈！

2018/4/16:更新了在hook时候挂起其他的cpu防止挂钩高频函数蓝屏问题

2018年/4/16:把代码放到github上，在readme上有详细的的使用方式说明：https://github.com/chinatiny/InlineHookLib.git

0x1 HOOK库有很多，这个有什么不同

1. 可以执行任意点InlineHook
2. 使用方便，让InlineHook成为享受，特别是从函数中间开始hook
3. 在hook的过程中可以很方便的做到对每个寄存器进行过滤
4. 同时支持内核和用户
5. 标题中说的任意点hook其实有点夸大，其实需要满足一个要求，就是hook点开始往下数6个字节，必须还在一个函数就好了

0x2 为什么要发这篇帖子

1. 取之看雪还之看雪，之前一直在看雪上索取，感觉应该贡献一点
2. 方便大家做hook，所以接口参数我尽可能做的精简，让大家做hook感觉很简单

0x3 使用的流程

0x4用户层HOOK例子

#include <windows.h>
#include <stdio.h>
#include "InlineHook.h"
#include <tchar.h>



void Func1()
{
    MessageBox(0, _T("原始函数"), _T("提示"), MB_OK);
}

void _stdcall HookedProc(HookContex* hookContex)
{
    TCHAR szHookBuff[MAX_PATH] = { 0 };

    _stprintf_s(szHookBuff, _countof(szHookBuff),
        _T("当执行的hook点的时候各个寄存器的值:\n\
        Eax = 0x%08X\n\
        Ecx = 0x%08X\n\
        Edx = 0x%08X\n\
        Ebx = 0x%08X\n\
        Esi = 0x%08X\n\
        Edi = 0x%08X\n\
        Ebp = 0x%08X\n\
        Esp = 0x%08X\n\
        EFlags = 0x%08X\n,你可以直接在这个函数中修改寄存器并在执行原来的地址的时候，寄存器将会是你修改的值\n"),
        hookContex->uEax,
        hookContex->uEcx,
        hookContex->uEdx,
        hookContex->uEbx,
        hookContex->uEsi,
        hookContex->uEdi,
        hookContex->uEbp,
        hookContex->uEsp,
        hookContex->uEflags
        );

    MessageBox(0, szHookBuff, _T("提示"), MB_OK);
}


int main()
{
    InlineHookSt inlineSt;
    InitInlineHook(&inlineSt, Func1, HookedProc);
    InstallInlineHook(&inlineSt);

    //测试安装hook的效果
    Func1();

    //卸载钩子的执行效果
    UninstallInlineHook(&inlineSt);
    Func1();
    return 0;
}

0x5 用户层的效果演示：

0x6 内核层HOOK例子

        void  _stdcall  HookedKeStackAttachProcess(HookContex* hookContex)
        {
        KdPrint(("eax:%08X\n", hookContex->uEax));
        }

        //对KeStackAttachProcess挂钩防止进程挂靠
    UNICODE_STRING funcName;
    RtlInitUnicodeString(&funcName, L"KeStackAttachProcess");
    PVOID pKeStackAttachProcessAddr = MmGetSystemRoutineAddress(&funcName);
    InitInlineHook(&g_InlineKeStackAttachProcess, pKeStackAttachProcessAddr, HookedKeStackAttachProcess);
    InstallInlineHook(&g_InlineKeStackAttachProcess);

0x7 内核层hook效果演示

0x8 hook库只提供了对寄存器的过滤，如何对函数参数进行过滤？

1. 寄存器中有esp和ebp，并且hook的地点由你自己来定，可以直接通过esp或者ebp找到参数修改或者拦截掉

0x9 代码直接在git上下载即可

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课