游戏修改器制作教程六：hook的各种姿势

最新推荐文章于 2024-04-22 16:31:53 发布

VIP文章炒鸡嗨客协管徐

最新推荐文章于 2024-04-22 16:31:53 发布

阅读量1.2w

点赞数 6

文章标签：钩子 hook inline hook 游戏作弊器

本文链接：https://blog.csdn.net/xfgryujk/article/details/50350679

版权

本教程面向有C\C++基础的人，最好还要懂一些Windows编程知识
代码一律用Visual Studio 2013编译，如果你还在用VC6请趁早丢掉它...
写这个教程只是为了让玩家更好地体验所爱的单机游戏，顺便学到些逆向知识，我不会用网络游戏做示范，请自重

在第二章介绍了hook机制，本章要自己实现hook，实现调用某个函数时我们能截获、修改、取消这次调用

hook大概分两种，一种是修改函数代码跳转到钩子过程(inline hook)，另一种是修改地址表指向钩子过程(IAT hook、SSDT hook、虚函数表hook)

inline hook

inline hook就是修改函数代码跳转到钩子过程，就像第三章里CE注入代码那样
可以把目标函数开头的代码修改成jmp或call指令实现，不过用jmp才能取消调用

完整的inline hook例程：

#include <Windows.h>


#pragma pack(push)
// 修改内存对齐，保证JmpCode不被无效数据填充
#pragma pack(1)
#ifndef _WIN64
// 32位版，JMP XXXXXXXX
struct JmpCode
{
private:
	const BYTE jmp; // JMP指令的机器码，近跳转为E9，可跳至同一个段的范围内的地址
	DWORD address; // 相对地址 = 目标地址 - 下一条指令地址 = 目标地址 - 当前地址 - JMP指令长度


public:
	JmpCode(DWORD srcAddr, DWORD dstAddr)
		: jmp(0xE9)
	{
		setAddress(srcAddr, dstAddr);
	}


	void setAddress(DWORD srcAddr, DWORD dstAddr)
	{
		address = dstAddr - srcAddr - sizeof(JmpCode); // JMP指令长度 = sizeof(JmpCode) = 5
	}
};
#else
// 64位版，JMP QWORD PTR [XXXXXXXXXXXXXXXX]，64位JMP不能直接用操作数，需要存到变量或寄存器里
struct JmpCode
{
private:
	BYTE jmp[6]; // JMP指令的机器码
	uintptr_t address; // 绝对地址


public:
	JmpCode(uintptr_t srcAddr, uintptr_t dstAddr)
	{
		static const BYTE JMP[] = { 0xFF, 0x25, 0x00, 0x00, 0x00, 0x00 };
		memcpy(jmp, JMP, sizeof(jmp));
		setAddress(srcAddr, dstAddr);
	}


	void setAddress(uintptr_t srcAddr, uintptr_t dstAddr)
	{
		address = dstAddr;
	}
};
#endif
#pragma pack(pop)




// 测试用的被hook函数
int functionA(int arg)
{
	printf("调用了functionA，arg = %d\n", arg);
	return 0;
}


// hook函数
int functionB(int arg)
{
	printf("调用了functionB，arg = %d\n", arg);
	return 1;
}




// 保存functionA原来的开头的代码
BYTE oldCode[sizeof(JmpCode)];


void hook()
{
	// 从functionA开头跳到functionB开头的指令
	JmpCode code((uintptr_t)functionA, (uintptr_t)functionB);
	// 改变虚拟内存保护，使functionA开头可写，用WriteProcessMemory写内存的话好像不用改保护
	DWORD oldProtect, oldProtect2;
	VirtualProtect(functionA, sizeof(code), PAGE_EXECUTE_READWRITE, &oldProtect);
	// 保存functionA开头的指令
	memcpy(oldCode, functionA, sizeof(code));
	// 修改functionA开头的指令
	memcpy(functionA, &code, sizeof(code));
	// 恢复虚拟内存保护
	VirtualProtect(