之前看的教程都是先修改了函数的前5字节让函数流程跳到自己的函数，然后恢复原来的字节让原函数继续执行，显然这里有着不可解决的多线程问题。
在内核下也可Inline Hook，IS、Rku都是Inline Hook来进行保护的。看了Rootkit:Subverting the windows kernel里面介绍的内核Hook之后，我修改了下（也在别人的大力帮助下），在Ring0下测试成功。但是在Ring3下模拟了下却出错了，下面是代码，麻烦帮帮小弟，小弟在此谢过了，请各位大虾不吝赐教！！代码教烂，鄙视就鄙视吧~教会我就可以。

说明：MessageBoxA能正常弹出，mian函数能正常接受到返回值，然后就出错 OD调试执行到了一个无法读取的地址。。。。。
代码：

_declspec(naked) int ExecOrig(HWND hWnd,
        LPCTSTR lpText,
        LPCTSTR lpCaption,
        UINT uType)
{                      //用来填充，执行被Hook的代码。
        __asm
        {
                nop
                nop
                nop
                nop
                nop
                nop
                nop
                nop
                nop
                nop
                nop
                nop
                nop
        }
}  

int HookFunc(
        HWND hWnd,
        LPCTSTR lpText,
        LPCTSTR lpCaption,
        UINT uType)
{
        DWORD OrigESP;  //保存原来的esp，之前没保存返回不到main
        int bRet;
        __asm
        {
                mov OrigESP,esp
        }
        //打印参数，证明Hook到了
        printf("In MyMsgBox,the params:\n%s\n%s\n",lpText,lpCaption);
        bRet = ExecOrig(hWnd,lpText,lpCaption,uType);
        //打印返回值，证明能得到返回值
        printf("\nIn MyMsgBox,the return Value:\n%d\n",bRet);
        //恢复esp，让函数正常返回。否则回不到main
        __asm
        {
                mov esp,OrigESP
        }
        return bRet;
}

int main()
{
        int nRet;
        int i = 0;
        BYTE jmp[5];  //覆盖MessageBoxA前的5字节代码
        BYTE Old[5];  //保存MessageBoxA原来的代码
        BYTE JmptoOrig[5]; //跳到下一指令
        DWORD dwOld;   //内存保护

        jmp[0] = 0xE9;  //jmp ***
        //得到地址（相对地址）
        *((DWORD *)(jmp + 1)) = (DWORD) ((DWORD)HookFunc - (DWORD)MessageBoxA - 5);

        memcpy( Old,MessageBoxA,5);//保存原函数前5字节
        JmptoOrig[0] = 0xE9;
       
        //需要往回跳的地址
        *((DWORD *)(JmptoOrig + 1)) = (DWORD)MessageBoxA - (DWORD)ExecOrig - 5;

        ::VirtualProtectEx(::GetCurrentProcess(),
                                                ExecOrig,
                                                10,
                                                PAGE_READWRITE,
                                                &dwOld);

        memcpy( ExecOrig,Old,5 );   //写入原来的指令
        memcpy( (void *)((DWORD)ExecOrig + 5),JmptoOrig,5 ); //让函数跳到下面的指令，维持流程

        ::VirtualProtectEx(::GetCurrentProcess(),
                                                ExecOrig,
                                                10,
                                                dwOld,
                                                &dwOld);

        ::VirtualProtectEx(::GetCurrentProcess(),
                                                MessageBoxA,
                                                5,
                                                PAGE_READWRITE,
                                                &dwOld);
        memcpy( MessageBoxA,jmp,5);  //修改MesasgeBoxA的前5字节，让它跳到Hook。
        ::VirtualProtectEx(::GetCurrentProcess(),
                                                MessageBoxA,
                                                5,
                                                dwOld,
                                                &dwOld);
        nRet = ::MessageBox(0,"Test","Test",0); //测试
        printf("\nIn Main,the return:\n%d",nRet);//测试返回值。
        return 0;
}

//========================================
这里是执行结果：
In MyMsgBox,the params:
Test
Test

In MyMsgBox,the return Value:
1

In Main,the return:
1  //到这里就出错了，郁闷至极

以下是源码和exe。

[课程]FART 脱壳王！加量不加价！FART作者讲授！

上传的附件：

• Inline_Test.rar （14.59kb，38次下载）