运用Detours库hook API

 

一、Detours库的来历及下载：
  
  
  
  

        Detours库类似于WTL的来历，是由Galen Hunt and Doug Brubacher自己开发出来，于99年7月发表在一篇名为《Detours: Binary Interception of Win32 Functions.》的论文中。基本原理是改写函数的头5个字节（因为一般函数开头都是保存堆栈环境的三条指令共5个字节：8B FF 55 8B EC）为一条跳转指令，直接跳转到自己的函数开头，从而实现API拦截的。后来得到MS的支持并在其网站上提供下载空间：

http://research.microsoft.com/research/downloads/Details/d36340fb-4d3c-4ddd-bf5b-1db25d03713d/Details.aspx

        目前最新的版本是：Detours Express 2.1。

二、Detours的使用准备：

        Detours库是以源码形式提供的，这给我们的使用带来极大的方便。你可以选择把它编译成库、也可以直接把源码加入工程……形式使用。农夫采取的方法是编译成库后使用的。编译库的方法很简单，下载包中已经制作好了makefile，我们只须直接用vc下的nmake工具直接编译即可。鉴于前段时间在网上看见有部分朋友对此也存疑惑，农夫在此“浪费”一下空间，详细解说一下编译的过程（括号中为本人的例子）：

1、运行你下载的安装包，把文件解压到磁盘上

       此处建议您把解压后的src文件夹拷贝到VC的安装目录的VC98子目录下（D:/SDK/6.0/VC98）。对于像我一样使用库的方式会有好处，稍后即讲：）。

2、编译并设置开发环境

        在你刚才拷贝过去的src文件夹下建立一个*.bat文件，里面填上“../bin/nmake”内容后保存即可。运行该批处理文件，恭喜您：库已经编译完成，唯一要做的是要把../bin/Detoured.dll