一般来说,使用Detours的代码都具有固定的模式。Detours 1.5和Detours 2.1的接口函数变了很多,这里按照2.1版本对基本的使用方法进行说明。常用的函数有下面几个:
DetourTransactionBegin():开始一次截获或者解除截获过程。
DetourUpdateThread():列入一个在DetourTransaction过程中要进行update的线程。这个函数的作用稍微有一些复杂,会在后面专门说明。
DetourAttach():添加一个要截获的目标函数。
DetourDetach():用来解除截获的函数。
DetourTransactionCommit():执行当前的Transaction过程。在这个函数中才会真正进行截获或者解除截获操作。前面三个函数都只是做一些记录工作。
在使用的时候,这几个函数的调用步骤基本上也是按照上面列出来的顺序。举例来说,我们要截获API函数MessageBoxA,将消息框弹出的消息修改掉,可以按下面的方法做(这里是DLL注入的方式)。
先写一个调用了MessageBoxA的程序。建立一个MFC对话框工程(在建立向导中选"Dialog based",其余默认),打开Resource View中的对话框IDD_MESSAGEBOXAPP_DIALOG,添加OK按钮的单击处理事件OnBnClickedOk(),在其中加入对MessageBoxA函数的调用,如下:
编译后的程序名称为MessageBoxApp.exe,运行它并单击OK按钮时会弹出相应消息框。现在我们要截获这个EXE文件中对MessageBoxA函数的调用,以跳转到我们自己定义的D函数处。我们需要先编写一个DLL以拦截目标函数,然后将该DLL注入到目标程序MessageBoxApp.exe的空间中。
1、编写目标函数的拦截DLL
建立一个Win32的DLL工程(在Win32应用程序向导中选Dll),名为ApiHook,也可以不用IDE而是用原始的记事本来编写DLL。把detours.h和detours.lib、detoured.lib拷贝到工程目录下。源文件ApiHook.cpp的代码如下:
拦截操作一般按如下步骤进行:
1) 首先需要定义目标函数的原型。如果目标函数是Windows API,可以到MSDN中查阅,但是需要注意ANSI版本和Unicode版本的区别。如果没有确切的原型声明,或者目标函数是通过逆向工程找出来的,那么需要定义一个和目标函数原型兼容的声明,即参数个数和调用约定要相同。如MessageBoxA的原型是:
则使用typedef定义目标函数原型如下:
2) 定义指向目标函数的函数指针:
3) 定义截获函数并编写代码,用于替换目标函数。
4) 调用DetourTransactionBegin开始一次Detours事务。
5) 对进程中每个可能调用到目标函数的线程,都需要使用DetourUpdateThread加入到update队列中。这是因为拦截时修改目标函数的前几个字节,如果某个线程刚好执行到这几个字节的位置时,粗暴的修改掉会造成该线程出现异常。Detours事务处理时,会先枚举并暂停update队列中所有线程,获取它们的指令指针,如果发现这种情况,则将指令指针修改到跳板代码的对应字节上。这样就避免出现崩溃的问题。
6) 对每个需要拦截的函数,调用DetourAttach加入到事务列表中。
7) 调用DetourTransactionCommit进行实际的拦截操作。
解除拦截的操作和上面的流程基本一样,只是第6步改为调用DetourDetach函数。另外,Detours还包含一系列其他函数,如果需要使用的话,可以参考Detours安装目录下的示例。
最后,在DLL的加载事件加入拦截操作函数,在卸载事件中加入解除拦截的操作函数,把它编译成ApiHook.dll。
总体来说,Detours库的代码是非常稳定的,但是如果使用方法不对,会造成一些问题。有下面一些地方需要特别注意:
1) 一定要枚举线程并调用DetourUpdateThread函数。否则可能出现很低几率的崩溃问题,这种问题很难被检查出来。
2) 如果拦截函数在DLL中,那么绝大多数情况下不能在Unhook之后卸载这个DLL,或者卸载存在造成崩溃的危险。因为某些线程的调用堆栈中可能还包含Hook函数,这时卸载掉DLL,调用堆栈返回到Hook函数时内存位置已经不是合法的代码了。
3) Detours库设计时并没有考虑到卸载的问题,这是因为钩子的卸载本身是不安全的。当Detours库代码存在于DLL中的时候,即使Unhook了所有函数,清理了所有自己使用到的函数,还是会占用一些内存。卸载这个DLL会造成内存泄露,特别是反复的进行加载DLL->Hook->Unhook->卸载DLL的过程,会让这个问题变得非常严重。
4) 有一些非常短的目标函数是无法Hook的。因为jmp指令需要占用一定空间,有些函数太过短小,甚至不够jmp指令的长度,自然是没有办法Hook掉的。
5) Detours不支持9x内核的Windows系统。因为9x内核下的内存模型和NT内核下有非常大的差别。
2、将拦截DLL注入到目标应用程序中
为了将ApiHook.dll注入到MessageBoxApp.exe中,这需要在MessageBoxApp.exe中加入.detours节。把ApiHook.dll以及Detours库中的detoured.dll拷贝到MessageBoxApp.exe所在目录(或者也可以将它们拷贝到system32目录等地方)。也就是我们在运行MessageBoxApp.exe时要确保能访问到这些DLL。我们使用Detours自带的setdll.exe重写二进制可执行文件,只要使用命令setdll /d:ApiHook.dll MessageBoxApp.exe即可,在MessageBoxApp.exe中加入一个新的.detours节。这样再运行修改后的MessageBoxApp.exe即可看到拦截的结果。我们使用depends.exe观察MessageBoxApp.exe的变化,可以看到MessageBoxApp.exe加入了对ApiHook.dll的依赖关系。