inlinehook的核心就是：跳转、跳板。

hook的中文含义是钩子，介绍hook含义之前，先放一个“现实世界里的hook”：

如果把作战行动当作一个函数，下达作战指令当作一次函数调用，川建国同志当作函数调用者，那么米利的行为就相当于hook了作战函数。这样，米利会监控所有作战行动，并且可以中止作战行动。

通过上面的例子，大家应该对hook有了一个初步的认识了，hook后调用原函数时，直接跳到指定的函数。

hook技术的应用很广泛，例如笔记本上的杀毒软件、网吧系统里的监控软件、pc游戏的反外挂防护系统、屏幕录制软件fraps都会使用hook来实现一些高级功能。

安全软件：360等安全软件会hook一些入口函数（例如驱动加载）获得系统最高权限。

监控软件：你在网吧上网时，监控软件hook了connect、send、recv等函数，这样访问的所有网站都会被记录下来（不要做坏事）。

游戏攻防：例如fps游戏外挂会hook d3d的DrawIndexedPrimitive实现透视功能。

#3、什么是inlinehook？
hook的实现有很多种，inlinehook是hook的一种方式。通过修改原函数开头的汇编指令，直接跳转到指定函数。

开源的inlinehook库有很多，例如subhook和微软的Detours，本文会带大家从0开始，一步一步实现一个基础的inlinehook库。

#4、inlinehook库代码结构

代码已经上传gitee，不用github的主要原因是国内gitee网速好一些。文章先介绍一些hook库代码结构，再介绍典型的使用场景。

关注微信“东北码农”，回复inlinehook可获取代码地址。

xx_mem.hpp：修改代码段属性，改为可读写、可执行

xx_asm.hpp：工具函数，向目标地址写入汇编指令，例如jmp，ret，push等。

xx_inline_hook.hpp：封装hook的c接口。包括hook、制作跳板、偏移重定位等操作。

test_hook_jmp32：inlinehook入门示例，基础0xe9的jmp跳转。

test_hook_jmp64：64bit操作系统跳转函数，hook系统函数必备。

test_trampoline：跳板函数，hook以后如何再调用原函数？

test_trampoline_relocation：跳板函数中包含相对偏移，如何重定位？

咱们通过这几个经典场景，来说一说。

inlinehook本质是一种汇编代码修改技术，修改原函数，开头第一条汇编指令改为jmp跳转到我们的函数。先看一下demo：

执行结果屏幕输出

下面说说实现，主要有两步：修改代码段内存属性；插入jmp汇编指令。

修改代码段内存属性
// 修改被hook函数内存属性为可写
xx_mem_unprotect(hello_world, 4096);
一段内存有是否可读、是否可写、是否可执行等属性。代码段默认是不可写的（不可修改），所以需要先设置为可写才能修改。xx_mem_unprotect的windows实现，调用VirtualProtect系统api来实现（linux下的api是mmap）

static bool xx_mem_unprotect(void* address, size_t size) {
DWORD old_flags;
BOOL result = VirtualProtect(address,
size,
PAGE_EXECUTE_READWRITE,
&old_flags);
return result == TRUE;
}

插入jmp汇编指令
// 在函数开头插入jmp语句，跳转到my_hello_world
xx_setjmp32(&hello_world, &my_hello_world);
hook以后，hello_world的汇编指令如下：

jmp指令共占用5个字节，指令opcode 0xe9占用1字节，偏移量占用4字节。偏移量是目标地址相对本地址的偏移。

上面的07FF664241140（下一条指令地址）-00007FF6642410B5（目标地址）=8b，刚好是e9后面的值。

代码实现部分

首先制作一个辅助类，用于向目标地址写入jmp汇编指令

汇编指令

其中write是写入指令，size返回本指令长度，后续会不断扩充汇编指令类，都有这两个接口。

下面再实现xx_setjmp32 就简单多了，计算一下偏移，然后写入指令。

现在，我们的hook库支持功能如下：

上一个场景使用的jmp指令跳转，jmp指令有一个限制是，跳转地址与原地址的偏移不能超过int32的范围，在64bit操作系统下可能无法跳过去。我们的hook库需要进化一下，支持在64位地址空间下任意跳转。

偏移足够小时，尽量使用32位jmp跳转。因为32位跳转只修改5字节，而64位大跳需要修改14字节，hook时尽量减少对原函数修改。

先看一下demo，为了展示“大跳”，hook一个系统函数

执行结果屏幕输出

如何判断是否需要大跳

判断时，计算原函数和跳转函数的偏移，是否在int32的范围即可。

64位大跳实现
实现时借助ret汇编指令。先说说ret汇编指令，在正常函数调用时，会先将返回地址入栈，等函数执行完后再调用ret指令完成返回地址出栈+跳转。

实现64位跳转时，先把要跳转的地址入栈，然后再调用ret指令实现跳转。

先看一下修改后，原函数的汇编代码：

代码实现部分

首先也是汇编指令辅助类，这里需要3个push、mov、ret。每个辅助类还是有write和size两个接口。

写入这3条汇编，代码如下：

现在，我们的hook库支持功能如下：

为了方便使用，封装了一个xx_setjmp函数，自动判断偏移量，选择合适的跳转方式，代码如下：

前两个场景都没有调用原函数，如果想调用原函数怎么做呢？例如实现监控程序，跳转函数中记录函数参数，然后再调用原函数。直接调用原函数是不行的，会再次跳转到跳转函数。

我们先看一下demo，模拟监控功能，记录函数调用参数后，借助“跳板”执行原逻辑。

执行结果屏幕输出

如何制作跳板？例如hook时破坏了原函数的前3条汇编指令，那么hook前需要申请一块内存把前3条指令复制过去，然后再跳转到原函数第四条指令，这块内存就是所谓的跳板。

跳板需要复制多少代码
复制汇编代码时，是以汇编指令为单位来复制的，不能修改了5字节，就复制5字节，那样有可能复制到半条指令。究竟复制多少字节呢？好多hook库都内嵌了一个反汇编引擎，自动判断需要拷贝条数，本文为了让大家更深入理解，决定人工计算，通过参数指定拷贝字节数。

首先先判断原函数需要修改多少字节（使用32位跳转还是64位跳转），xx_setjmp 的返回值是修改字节数，就是为了这里使用。我们的demo是修改5字节。

最少修改5字节 ，完整指令，所以需要复制2条指令，4+4=8字节。

复制代码+跳回去
制作跳板比较简单，复制代码后面跟着跳转语句跳回原函数。

调用前，别忘了给跳板内存增加可执行属性！

现在，我们的hook库支持功能如下：

上个场景中，跳板直接复制原函数代码就行了，不过有时复制来的代码确是错的，例如下面这个demo，我们看一下

什么时候跳板需要重定位？

我们在第25行执行了偏移重定位，我们看一下重定位之前的原函数和跳板函数的汇编指令。

原函数

跳板

大家发现没有，第二条指令，字节是一样的，但是指令不同！

原函数

因为这条mov汇编指令使用的是相对偏移，指令所在位置不同，绝对地址就不同，大家可以回想一下前面的jmp指令。这种参数是偏移量的指令，就需要重定位。

以后我们会内嵌一个反汇编引擎，查表可以判断是否需要重定位，不用肉眼看了。

重定位概念很有用，以后手动加载dll或内存完整性校验时也会提到。

重定位过程
首先通过原函数计算绝对地址，然后根据跳板地址计算偏移。

至此，我们的hook库功能基本齐全，可以用了。支持功能如下：

接下来会介绍远程线程注入、然后配合inlinehook去观察其它软件如何工作。

最后，求关注、点赞、转发，谢谢~

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！