[原创]简单讲解UE5游戏Dx12 虚表Hook的方法并实战演示-逆向工程-看雪安全社区

# 一、	基础知识补充
通过验证游戏是否加载了D3D12Core.dll来判断其是否使用Dx12，只有Release模式下生成这个dll，如果是debug模式生成的dll为：d3d12SDKLayers.dll。毕竟你玩的游戏确实有可能是debug模式下编译的。因为UE5都是单独编译D3D12Core.dll的，并没有使用系统目录下的dll，所以我们同样使用开源的UE5源码编译一个游戏后，在游戏目录下将D3D12Core.dll拖入IDA中分析，需要分析这个dll的主要原因是Dx12绘制流程中最重要的一步就是使用CommandQueue对象下的虚函数ExecuteCommandLists来提交所有需要绘制的内容，我们需要获取到CommandQueue对象，Hook这个对象实时调用的任意一个虚函数取rcx都可以达到目的。开源代码中基本都是Hook ExecuteCommandLists，那么我们只需要定位函数并获取到他的Index即可。
UE引擎下的 ExecuteCommandLists 特征码：
```
48 89 ?? ?? ?? 48 89 ?? ?? ?? 48 89 ?? ?? ?? 57 48 ?? ?? ?? 48 8B ?? ?? ?? ?? ?? 48 8B E9 49 8B F8 8B F2 48 8D ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B C7 8B D6 48 8B CD E8 ?? ?? ?? ?? 48 8D ?? ?? ?? ?? ?? 48 8B ?? ?? ?? 48 8B ?? ?? ?? 48 8B ?? ?? ?? 48 ?? ?? ?? 5F E9
```
ExecuteCommandLists 在CommandQueue中的index=10。
你如果使用系统目录下的dll定位特征的话在游戏中可能是搜索不到的。
Dxgi.dll使用系统目录下的，拖入IDA中后，查找：

```
__int64 __fastcall CDXGISwapChain::Present(CDXGISwapChain *this, unsigned int a2, unsigned int a3)；
```
将其偏移记录，方便等等定位。
和Dx11一样，Hook代码基本就抄ImGui的源码即可，不需要什么技术含量。
# 二、	具体操作演示讲解需注意的问题
接下来我们打开游戏，进行简单演示。我们定位到present函数，在头部下断。断下后查看堆栈返回。
 ![](upload/attach/202601/907221_PY4T8V2KEBH2JF3.webp)
这种堆栈是很常见的开启了GPU加速以及超分辨率模式，我们就不能像以前一样直接看上一层的代码了，我们需要直接定位到他返回到主模块的地址。你更换不同的超分辨模式这里加载的dll就是其他名称了，思路都是一样的直接找到主模块下的返回地址。漫xx雄与界xx潮都是一样的处理方式。
 ![](upload/attach/202601/907221_J5592VAJRBUST7G.webp)
在mov rax, [rcx]，调用时获取到rcx的值，替换成我们的虚表，即可完成对CDXGISwapChain对象的虚表的替换。那我们定位这里的特征码：

```
48 8B 01 FF 50 40 45 85 FF 4C 8B 7C 24
```
接下来在CE中搜索ExecuteCommandLists函数的特征码，定位到这个函数的头部下断，查看堆栈返回。
 ![](upload/attach/202601/907221_A3EVWVXQTJ2ZBRD.webp)
此时可以注意到函数的头部不是正常的头部，被经典5字节Hook了，我们进入这个函数查看：
 ![](upload/attach/202601/907221_KGQAB2KGQ3MDPV2.webp)
这种情况其实对于这个游戏而言其实在多处使用到，比如FName::ToString、StaticFindObject等等很多函数都用到了。他就是简单看看是不是游戏自身调用的函数，如果是被Hook调用或者说是堆栈返回有异常的让你调用无效。他的内部肯定是要还原头部5字节的：
 ![](upload/attach/202601/907221_CYANWB2G54WM5KB.webp)
我们在堆栈中找到调用的返回处，往上滑：
 ![](upload/attach/202601/907221_TDEGGWN2EHN9HEQ.webp)
我们定位到mov r9， [r12]的位置，调用时获取r12的值，替换CommandQueue对象的虚表。
获取到特征码：

```
4D 8B 0C 24 49 8B CC 4C 8B 44 24 48 8B 94
```
基础数据我们获取完了，接下来我们使用硬件断点进行Hook就行。
 ![](upload/attach/202601/907221_MSUVQP6PTF3EPYW.webp)
 ![](upload/attach/202601/907221_7SUV8FUGVCVKWY6.webp)
Hook函数

```
long __fastcall hookPresentD3D12(IDXGISwapChain3* pSwapChain, UINT SyncInterval, UINT Flags) 
{
	if (!init) 
	{
		if (SUCCEEDED(pSwapChain->GetDevice(__uuidof(ID3D12Device), (void**)&d3d12Device))) {
			ImGui::CreateContext();
			D3dpSwapChain = pSwapChain;
			unsigned char* pixels;
			int width, height;
			ImGuiIO& io = ImGui::GetIO(); (void)io;
				
			ImGui::GetIO().WantCaptureMouse || ImGui::GetIO().WantTextInput || ImGui::GetIO().WantCaptureKeyboard;
			io.ConfigFlags |= ImGuiConfigFlags_NavEnableKeyboard;
			ImGui::StyleColorsDark();
			io.Fonts->AddFontDefault();
			io.Fonts->GetTexDataAsRGBA32(&pixels, &width, &height);
			io.IniFilename = NULL;
			
			DXGI_SWAP_CHAIN_DESC sdesc;
			pSwapChain->GetDesc(&sdesc);
			sdesc.Flags = DXGI_SWAP_CHAIN_FLAG_ALLOW_MODE_SWITCH;
			sdesc.OutputWindow = Engine::hWnd;
			sdesc.Windowed = ((GetWindowLongPtr(Engine::hWnd, GWL_STYLE) & WS_POPUP) != 0) ? false : true;

buffersCounts = sdesc.BufferCount;
			frameContext = new FrameContext[buffersCounts];
			memset(frameContext, 0, buffersCounts * sizeof(FrameContext));
			
			D3D12_DESCRIPTOR_HEAP_DESC descriptorBackBuffers = {};
			descriptorBackBuffers.Type = D3D12_DESCRIPTOR_HEAP_TYPE_RTV;
			descriptorBackBuffers.NumDescriptors = buffersCounts;
			descriptorBackBuffers.Flags = D3D12_DESCRIPTOR_HEAP_FLAG_NONE;
			descriptorBackBuffers.NodeMask = 1;
			if (d3d12Device->CreateDescriptorHeap(&descriptorBackBuffers, IID_PPV_ARGS(&d3d12DescriptorHeapBackBuffers)) != S_OK)
				return Spoofer(Dx12SwapChainHook.GetOriginal<decltype(&hookPresentD3D12)>((8)), pSwapChain, SyncInterval, Flags);
			
			const auto rtvDescriptorSize = d3d12Device->GetDescriptorHandleIncrementSize(D3D12_DESCRIPTOR_HEAP_TYPE_RTV);
			D3D12_CPU_DESCRIPTOR_HANDLE rtvHandle = d3d12DescriptorHeapBackBuffers->GetCPUDescriptorHandleForHeapStart();
			for (size_t i = 0; i < buffersCounts; i++) {
				ID3D12Resource* pBackBuffer = nullptr;

frameContext[i].main_render_target_descriptor = rtvHandle;
				pSwapChain->GetBuffer((UINT)i, IID_PPV_ARGS(&pBackBuffer));
				d3d12Device->CreateRenderTargetView(pBackBuffer, nullptr, rtvHandle);
				frameContext[i].main_render_target_resource = pBackBuffer;
				rtvHandle.ptr += rtvDescriptorSize;
			}

D3D12_DESCRIPTOR_HEAP_DESC descriptorImGuiRender = {};
			descriptorImGuiRender.Type = D3D12_DESCRIPTOR_HEAP_TYPE_CBV_SRV_UAV;
			descriptorImGuiRender.NumDescriptors = buffersCounts;
			descriptorImGuiRender.Flags = D3D12_DESCRIPTOR_HEAP_FLAG_SHADER_VISIBLE;
			if (d3d12Device->CreateDescriptorHeap(&descriptorImGuiRender, IID_PPV_ARGS(&d3d12DescriptorHeapImGuiRender)) != S_OK)
				return Spoofer(Dx12SwapChainHook.GetOriginal<decltype(&hookPresentD3D12)>((8)), pSwapChain, SyncInterval, Flags);
			g_pd3dSrvDescHeapAlloc.Create(d3d12Device, d3d12DescriptorHeapImGuiRender);

for (UINT i = 0; i < buffersCounts; i++)
				if (d3d12Device->CreateCommandAllocator(D3D12_COMMAND_LIST_TYPE_DIRECT, IID_PPV_ARGS(&frameContext[i].commandAllocator)) != S_OK)
					return Spoofer(Dx12SwapChainHook.GetOriginal<decltype(&hookPresentD3D12)>((8)), pSwapChain, SyncInterval, Flags);
			if (d3d12Device->CreateCommandList(0, D3D12_COMMAND_LIST_TYPE_DIRECT, frameContext[0].commandAllocator, NULL, IID_PPV_ARGS(&d3d12CommandList)) != S_OK ||
				d3d12CommandList->Close() != S_OK)
				return Spoofer(Dx12SwapChainHook.GetOriginal<decltype(&hookPresentD3D12)>((8)), pSwapChain, SyncInterval, Flags);

g_fenceEvent = CreateEvent(nullptr, FALSE, FALSE, nullptr);
			if (g_fenceEvent == nullptr)
				return false;

pSwapChain->SetMaximumFrameLatency(buffersCounts);
			g_hSwapChainWaitableObject = pSwapChain->GetFrameLatencyWaitableObject();

ImGui_ImplWin32_Init(Engine::hWnd);
			Menu::loadTheme();
			g_pd3dSrvDescHeapAlloc.Alloc(&my_texture_srv_cpu_handle, &my_texture_srv_gpu_handle);
			bRetGetTexture = ImGui_LoadImage::LoadTextureFromMemory((UCHAR*)logo, sizeof(logo), d3d12Device, my_texture_srv_cpu_handle, &my_texture, &my_image_width, &my_image_height);
			ImGui_ImplDX12_Init(d3d12Device, buffersCounts,
				DXGI_FORMAT_R8G8B8A8_UNORM, d3d12DescriptorHeapImGuiRender,
				d3d12DescriptorHeapImGuiRender->GetCPUDescriptorHandleForHeapStart(),
				d3d12DescriptorHeapImGuiRender->GetGPUDescriptorHandleForHeapStart());
			ImGui_ImplDX12_CreateDeviceObjects();
		}
		init = true;
	}

if (init)
	{
		if (d3d12CommandQueue == nullptr) 
		{ 
			return Spoofer(Dx12SwapChainHook.GetOriginal<decltype(&hookPresentD3D12)>((8)), pSwapChain, SyncInterval, Flags);
		}

if (swapchainInit)
		{
			HDHook.UnHook();
			swapchainInit = false;
			commandQueueInit = false;
		}

ImGui_ImplDX12_NewFrame();
		ImGui_ImplWin32_NewFrame();
		ImGui::NewFrame();

Menu::get().Render();

ImGui::Render();

FrameContext& currentFrameContext = frameContext[pSwapChain->GetCurrentBackBufferIndex()];
		currentFrameContext.commandAllocator->Reset();
		
		FrameContext* frameCtx = WaitForNextFrameResources(buffersCounts);
		frameCtx->commandAllocator->Reset(); 
	
		D3D12_RESOURCE_BARRIER barrier = {};
		barrier.Type = D3D12_RESOURCE_BARRIER_TYPE_TRANSITION;
		barrier.Flags = D3D12_RESOURCE_BARRIER_FLAG_NONE;
		barrier.Transition.pResource = currentFrameContext.main_render_target_resource;
		barrier.Transition.Subresource = D3D12_RESOURCE_BARRIER_ALL_SUBRESOURCES;
		barrier.Transition.StateBefore = D3D12_RESOURCE_STATE_PRESENT;
		barrier.Transition.StateAfter = D3D12_RESOURCE_STATE_RENDER_TARGET;
		d3d12CommandList->Reset(frameCtx->commandAllocator, nullptr);
		d3d12CommandList->ResourceBarrier(1, &barrier);

d3d12CommandList->OMSetRenderTargets(1, &currentFrameContext.main_render_target_descriptor, FALSE, nullptr);
		d3d12CommandList->SetDescriptorHeaps(1, &d3d12DescriptorHeapImGuiRender);
		ImGui_ImplDX12_RenderDrawData(ImGui::GetDrawData(), d3d12CommandList);
		barrier.Transition.StateBefore = D3D12_RESOURCE_STATE_RENDER_TARGET;
		barrier.Transition.StateAfter = D3D12_RESOURCE_STATE_PRESENT;
		d3d12CommandList->ResourceBarrier(1, &barrier);
		d3d12CommandList->Close();

d3d12CommandQueue->ExecuteCommandLists(1, reinterpret_cast<ID3D12CommandList* const*>(&d3d12CommandList));
	}

return Spoofer(Dx12SwapChainHook.GetOriginal<decltype(&hookPresentD3D12)>((8)), pSwapChain, SyncInterval, Flags);
}

```

![](upload/attach/202601/907221_DH2QTF8ZR66PDHM.webp)

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#其他内容

最新回复 (101) 1 2 3 4 5 ▶
阿秋需要push 雪币： 315 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 16 粉丝 1 关注私信	阿秋需要push 2 楼你的分享对大家帮助很大，非常感谢！ 2026-1-16 01:19 0
东城狂人雪币： 124 活跃值： (2290) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 74 粉丝 2 关注私信	东城狂人 3 楼学习 2026-1-16 10:45 0
__Shinn 雪币： 2740 活跃值： (1510) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 74 粉丝 85 关注私信	__Shinn 2 4 楼感谢分享 2026-1-16 11:23 0
DeDream 雪币： 18 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	DeDream 5 楼感觉这样比较容易崩溃最后于 2026-1-16 11:50 被DeDream编辑，原因： 2026-1-16 11:46 0
Imxz 雪币： 110 活跃值： (9571) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 6 楼 tql 2026-1-16 14:06 0
mb_fbgwdcrp 雪币： 228 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 21 粉丝 0 关注私信	mb_fbgwdcrp 7 楼 xx 2026-1-16 14:22 0
wx_Huber Barrientos 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 216 粉丝 1 关注私信	wx_Huber Barrientos 8 楼感谢分享 2026-1-17 09:50 0
supyuan 雪币： 45 活跃值： (1881) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 38 粉丝 0 关注私信	supyuan 9 楼 666666 2026-1-17 10:26 0
jihongwdlp 雪币： 9242 活跃值： (6302) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 23 粉丝 0 关注私信	jihongwdlp 10 楼谢谢大佬详细的分享，学习一下，很有帮助 2026-1-17 10:59 0
zylyy 雪币： 144 活跃值： (2738) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 491 粉丝 3 关注私信	zylyy 11 楼 666 2026-1-17 19:49 0
zylyy 雪币： 144 活跃值： (2738) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 491 粉丝 3 关注私信	zylyy 12 楼 666 2026-1-17 19:49 0
红薯雪币： 201 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	红薯 13 楼感谢分享 2026-1-17 20:50 0
淡然他徒弟雪币： 5608 活跃值： (7358) 能力值： ( LV10，RANK：160 ) 在线值：发帖 23 回帖 299 粉丝 125 关注私信	淡然他徒弟 1 14 楼 mark 2026-1-17 21:27 0
fujing 雪币： 4182 活跃值： (6569) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 142 粉丝 4 关注私信	fujing 15 楼 mark 2026-1-18 08:07 0
mb_mfvjihjx 雪币： 31 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	mb_mfvjihjx 16 楼 mark 2026-1-18 09:19 0
mb_zcudycuk 雪币： 209 活跃值： (170) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	mb_zcudycuk 17 楼 mark 2026-1-18 17:49 0
xingbing 雪币： 158 活跃值： (5791) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 18 楼感谢分享！ 2026-1-18 21:01 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 121 粉丝 0 关注私信	mb_urzqsoer 19 楼 NB 2026-1-18 23:28 0
mb_tpcshpxk 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_tpcshpxk 20 楼学习一下最后于 2026-1-19 10:59 被mb_tpcshpxk编辑，原因： 2026-1-19 10:59 0
joker陈雪币： 12279 活跃值： (4445) 能力值： ( LV5，RANK：71 ) 在线值：发帖 19 回帖 369 粉丝 4 关注私信	joker陈 21 楼 NB 2026-1-19 11:00 0
hungnguyen 雪币： 188 活跃值： (2176) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 114 粉丝 0 关注私信	hungnguyen 22 楼感谢分享！ 2026-1-19 12:47 0
VEPN 雪币： 216 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 21 粉丝 0 关注私信	VEPN 23 楼感谢分享！ 2026-1-19 16:35 0
Hax-infinity 雪币： 210 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	Hax-infinity 24 楼感谢分享 2026-1-20 06:03 0
mb_qimctavn 雪币： 5329 活跃值： (6790) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 402 粉丝 1 关注私信	mb_qimctavn 25 楼 6 2026-1-20 12:35 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复