我对Windows API拦截技术经典之作Matt Pietrek的<<Windows 95 System Programming Secret>>第十章的研究

原创 2001年07月03日 17:50:00

拜读了<<程序员>>杂志 2001年2月号,“编写Win32 API钩子”文章后,对文中提及的如何将DLL插入到其它进程地址空间中所总结的5种方法,产生了极大兴趣,尤其对作者认为最好的但也是最复杂的第五种方法。通过研究发现这第五种方法,即:使用CreateProcess, WaitForDebugEvent,WriteProcessMemory, LoadLibrary等函数将DLL注入到被监控程序空间中,正是Matt Pietrek的<<Windows 95 System Programming Secret>>第十章中所使用的方法。通读该书第十章,不禁要为Matt Pietrek所阐述技术的独到精辟喝彩。虽然该书已经很老,但其附带软盘中的EXE执行程序及DLL在Windows 98, Windows NT4.0下依然可以正常运转。美中不足之处是书中例子代码全部由C程序及汇编文件构成。在VC++6.0下编译通不过,原因是其中一个汇编文件ASMRETRN.asm 在VC++6.0下不知如何编译,为解决这个问题我先后尝试了以下方法:

1) 使用汇编编译器MASM611
将ASMRETRN.asm单独编译成.obj文件后再和其它文件链接。虽然可以解决问题,但总觉得到不方便,所以我尝试将ASMRETRN.asm文件改写成C++文件(其它文件已全部改成C++文件) 。
2) 将ASMRETRN.asm文件改写成C++文件
我使用 _asm关键字修饰 ASMRETRN.asm文件中的汇编语句如下:


void AsmCommonReturnPoint(void)
{
_asm SUB ESP,4   ; Make space for return address
_asm PUSHAD
… …
}


并将ASMRETRN.asm改为ASMRETRN.cpp,然后编译,虽然编译成功,但运行失败。
经过Debug并跟踪汇编代码后,发现C++编译器在每个函数的开头及结尾处都加入了用于保护恢复寄存器的前导和后缀代码。由于这些额外的代码,使得原来精确控制堆栈的汇编程序不再精确,所以程序运行失败。我想也许这也是Matt Pietrek没有将全部程序用C实现的原因。参见原文,Matt Pietrek在文章中说“在我动手编写APISPY32时,我想全用C。不巧,为了在被拦截的函数返回时对我们玩的堆栈进行很好的控制,我无法编写一个清晰的C程序。… …”。 虽然改写遇到了困难,但我没有因此而停止。经过不懈努力我发现了解决这一困难的方法:使用 _declspec(naked)宣言。_declspec(naked) 是微软对C语言的扩充。可以抑制编译器为函数产生前导和后缀代码(the compiler generates code without prolog and epilog code.) 通过如下改写:


_declspec(naked) void AsmCommonReturnPoint(void)
{
_asm SUB  ESP,4   ; Make space for return address
_asm PUSHAD
… …
}


ASMRETRN.asm在精确保持原有功能的前提下改为了ASMRETRN.cpp文件,并且运行成功。至此我已将原程序全部移植到VC++60环境下。

进一步测试,我发现当跟踪的目标程序是Debug版时程序运行正常。但跟踪的目标程序是release版时, 我们的跟踪程序不能拦截目标程序的Windows API函数调用,这是一个严重的BUG!经过多次调试,我终于发现了原因所在。原来在某些release版程序中,存放函数导入表(IAT) 的“.idata”节和其它节进行了合并,并且存放合并后数据的页的页属性为不可写。所以当我们试图改写IAT中函数地址到我们自己的stub函数时,发生页面访问错误。知道了原因,修改就相对容易了。只需将存放函数导入表(IAT) 的“.idata”节所在页的页属性强制改为可写,在替换完IAT表中函数地址后再将页属性还原。 OK,现在可以跟踪release版目标程序了。

现在来进行多平台测试。Window 9x,windows ME, Window NT40运行正常, 但Windows 2000下运行失败。原因是DLL不能被注入到目标程序中。为什么?好象是注入DLL时的有关LoadLibrary() 的一段机器码出了问题,现在该问题正在研究中。希望对Windows API拦截技术,尤其是对Matt Pietrek的<<Windows 95 System Programming Secret>>第十章中所使用的技术有所了解的高手,能够给我提供一些线索指导,这也是我写这篇文章的目的之一。
在此,先对能为我提供帮助的所有朋友,大师,高手表示感谢。同时也希望能和更多的网友切磋技艺,互通有无。


我的M-mail: hanjin@pecan.com.cn 欢迎来信。

windows 下实现函数打桩:拦截API方式

windows 下实现函数打桩:拦截API方式
  • chenlycly
  • chenlycly
  • 2016年10月19日 22:12
  • 876

揭示Win32 API拦截细节

原文出处:http://www.codeproject.com/system/hooksys.asp 简要介绍 拦截win32 API 调用对于多数windows开发人员来说都一直是很有挑...
  • Steven6977
  • Steven6977
  • 2013年09月03日 13:28
  • 2769

windows下的API拦截---利用detours库操作

API拦截技术是一种比较常见的技术,对某个软件使用的系统API进行拦截,可以改变软件的行为,从而达到自己的目的。关于拦截技术的原理,Jeffy在《Windows核心编程》里面介绍的非常详尽,就是通过P...
  • yongshi6
  • yongshi6
  • 2016年01月29日 14:51
  • 1803

C#+低级Windows API钩子拦截键盘输入

摘要 在家里,婴儿和其它动物可能会重击你的计算机键盘,致使出现各种无法预言的结果。本文中的这个C#示例应用程序将向你展示如何基于Windows钩子API来实现在击键造成任何危害之前捕获它们。     ...
  • changtianshuiyue
  • changtianshuiyue
  • 2013年07月13日 15:43
  • 2450

window system()函数的使用总结

window 下用vs 控制台程序编程时,经常用system()函数,比如我常用的是system("pause");程序运行完时,停止在控制台界面你,方便查看程序的运行结果 systetm函数,就是可...
  • u014114990
  • u014114990
  • 2016年05月13日 15:44
  • 955

原 深入了解tcmalloc(一):windows环境下无缝拦截技术初探

http://my.oschina.net/u/877348/blog/272066 概述:          又到了一个总结提炼的阶段,这次想具体聊聊游戏引擎中使用的内存管理模块tc...
  • sharemyfree
  • sharemyfree
  • 2015年08月07日 15:00
  • 1201

Windows 95/98虚拟机OS安装说明书[仅限VirtualBox]

Tutorial:Windows 95/98 guest OSes Windows 95/98虚拟机OS安装说明书 by Technologov» 23. Sep 2008, 13:30 loph...
  • lophyxp
  • lophyxp
  • 2014年11月07日 17:12
  • 8733

Microsoft CryptoAPI加密技术(一)

http://www.vckbase.com/index.php/wv/716.html 在这个信息爆炸的时代,我们不得不对信息的安全提高警惕。加密作为保障数据信息安全的一种方式,越来越受到人们的关...
  • jiftlixu
  • jiftlixu
  • 2014年02月24日 18:36
  • 1256

温故:Windows API拦截框架

Windows 系统API通常前5字节为固定的,因此改成JMP刚好合适: mov edi, edi push ebp mov ebp, esp 我要介绍的方法用了很久,稳定性相当不错的说。 定...
  • A289672082
  • A289672082
  • 2016年06月29日 18:02
  • 403

Windows系统下获取SYSTEM权限设置的方法

默认情况下,我们无法直接在登录对话框上以SYSTEM帐户的身份登录到Windows桌面环境。实际上SYSTEM帐户早就已经“盘踞”在系统中了。想想也是,连负责用户验证的Winlogon、Lsass等进...
  • love70song
  • love70song
  • 2016年10月13日 00:25
  • 2592
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:我对Windows API拦截技术经典之作Matt Pietrek的<<Windows 95 System Programming Secret>>第十章的研究
举报原因:
原因补充:

(最多只允许输入30个字)