Detour重要函数，随手记

于 2022-03-26 18:59:23 发布
阅读量460 收藏
点赞数
分类专栏： 逆向 文章标签： Detours
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/downstairs/article/details/123761019
版权

Detours学习之七：Detours示例程序构建_jyl_sh的博客-CSDN博客Detours示例程序构建要构建示例应用程序，请在samples目录中键入nmake。注意，为了使用许多其他示例程序，必须构建setdll和syslog示例。 每个样例目录都有一个测试，可以通过键入nmake test调用它来演示样例的用法。除了极少数例外，所有的.exe程序也接受/?命令显示使用信息。 跟踪示例通过syelogd.exe守护进程记录其输出，并挂钩CreateProcessW以将自己加载到任何子进程。例如，输入withdll -d:trac...https://blog.csdn.net/jyl_sh/article/details/121011402DetourFindFunction非系统API或者要引入的.h头文件关联太多，太大的时候，用这个动态找到目标函数的地址，然后

DetourCreateProcessWithDll用于在程序启动后并且任何程序代码执行前下钩，这样就可以钩住所有运行的函数哪怕是一闪而过的。

相似的有：DetourCreateProcessWithDlls 、DetourCreateProcessWithDllEx主要用于程序32位和64位调用共存的情况

SoulRed
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
api钩子的实现--用Detours拦截Win32API函数
12-24
api钩子的实现--用Detours拦截Win32API函数
Detours HOOK 库 过滤LoadLibraryExW
weixin_30642561的博客
04-25 267
Detours HOOK 库 Hook 过滤LoadLibraryExW 一丶简介 1.1 Detours库简介 Detours是微软提供的HOOK库.为我们Hook提供了方便.再也不用手撸 HOOK了.当然手撸比较好.可以锻炼.不过工作中要求效率.所以使用这个库. 这个库很强大.对于初学者来说也很简单. 1.2 使用Detours需要注意的问题 为什么说我们需要注意.很多博客也有说.但是往往都不...
Detour教程(下)
山炮之家
05-22 3472
来源：e股脑 Figure 5中的代码片断描述了如何使用Detours库。要使用Detours必须包含detours.h并将detours.lib链接到工程中。Figure 5. 一个截获函数的例子。trampoline函数可以动态或者静态的创建。要使用静态的trampoline函数来截获目标函数，应用程序生成trampoline的时候必须使用DETOUR­_TRAMPOLIN
detours3.0文档翻译
buck84的专栏
12-14 1万+
拦截二进制函数         Detours库可以在运行过程中动态拦截函数调用。detours将目标函数钱几个指令替换为一个无条件跳转，跳转到用户定义的detour函数。被拦截的函数保存在trampoline函数中。trampoline保存了目标函数移除的指令和一个无条件跳转，可以跳转到目标函数的执行体部分（未被移除的部分）。         当执行到目标函数的时候，直接跳转到用户提供的de
Detours库Windows API Hook
南宫封清的博客
02-24 6352
什么是Detours 简单地说，Detours是微软提供的一个开发库，使用它可以简单、高校、稳定地实现APIHOOK的功能。 　　Detours是一个可以在x86、x64和IA64平台上测试任意Win32函数的程序开发库。它可以通过为目标函数重写在内存中的代码而达到拦截Win32函数的目的。Detours还可以将任意的DLL或数据片段(称之为有效载荷)注入到任意Win32二进制文件中。Det...
Detours学习之十：用于查找目标函数的api
jyl_sh的专栏
10-28 833
用于查找目标函数的api DetourFindFunction DetourCodeFromPointer 一、DetourFindFunction 通过名称找到目标函数的地址。 定义 PVOID DetourFindFunction(_In_ LPCSTR pszModule， _In_ LPCSTR pszFunction); 参数 pszModule:应该在其中找到函数的DLL或二进制文件的路径。 pszFunction:要查找的函数名。 返回值 如果成功，返回
Detour开发包之API拦截技术
yonghengzhimi的专栏
09-10 503
我们截获函数执行最直接的目的就是为函数增添功能，修改返回值，或者为调试以及性能测试加入附加的代码，或者截获函数的输入输出作研究，破解使用。通过访问源代码，我们可以轻而易举的使用重建（Rebuilding）操作系统或者应用程序的方法在它们中间插入新的功能或者做功能扩展。然而，在今天这个商业化的开发世界里，以及在只有二进制代码发布的系统中，研究人员几乎没有机会可以得到源代码。本文主要讨论Detour在Windows二进制PE文件基础上的API截获技术。对于Linux平台，作这件事情将会非常的简单，由于最初的操作
Detours学习之十三：Detours API用于将dll和有效负载插入新进程的api
jyl_sh的专栏
10-29 2531
用于将dll和有效负载插入新进程的api DetourCreateProcessWithDllEx DetourCreateProcessWithDlls DetourCopyPayloadToProcess DetourCopyPayloadToProcessEx DetourFinishHelperProcess DetourIsHelperProcess DetourRestoreAfterWith 一、DetourCreateProcessWithDllEx 创建一个新进程并将DLL
注入小记
随心散人专栏
04-03 722
DetourCreateProcessWithDll(NULL, (LPWSTR)cmdLine.c_str(), NULL, NULL, FALSE, 0, NULL, (LPCTSTR)gamePath.c_str(), &si, &pi,(LPCTSTR)botPath.c_str(), NULL); +botPath "e:\tiaoshi\TTTTT\hero\src\debug\Im
运用Detours库hook API
热门推荐
vcPlayer的专栏
07-20 1万+
 一、Detours库的来历及下载：        Detours库类似于WTL的来历，是由Galen Hunt and Doug Brubacher自己开发出来，于99年7月发表在一篇名为《Detours: Binary Interception of Win32 Functions.》的论文中。基本原理是改写函数的头5个字节（因为一般函数开头都是保存堆栈环境的三条指令共5个字节：8B FF
detour 2.1
07-16
Detours是微软开发的一个函数库, 用于修改运行中的程序在内存中的影像，从而即使没有源代码也能改变程序的行为。具体用途是： 拦截WIN32 API调用，将其引导到自己的子程序，从而实现WIN32 API的定制。 为一个已在运行的进程创建一新线程，装入自己的代码并运行。 ---- 本文将简介Detours的原理，Detours库函数的用法， 并利用Detours库函数在Windows NT上编写了一个程序，该程序能使有“调试程序”的用户权限的用户成为系统管理员，附录利用Detours库函数修改该程序使普通用户即可成为系统管理员 （在NT4 SP3上）。 一． Detours的原理 ---- 1． WIN32进程的内存管理 ---- 总所周知，WINDOWS NT实现了虚拟存储器，每一WIN32进程拥有4GB的虚存空间， 关于WIN32进程的虚存结构及其操作的具体细节请参阅WIN32 API手册， 以下仅指出与Detours相关的几点： ---- (1) 进程要执行的指令也放在虚存空间中 ---- (2) 可以使用QueryProtectEx函数把存放指令的页面的权限更改为可读可写可执行，再改写其内容，从而修改正在运行的程序 ---- (3) 可以使用VirtualAllocEx从一个进程为另一正运行的进程分配虚存，再使用 QueryProtectEx函数把页面的权限更改为可读可写可执行，并把要执行的指令以二进制机器码的形式写入，从而为一个正在运行的进程注入任意的代码 ---- 2． 拦截WIN32 API的原理 ---- Detours定义了三个概念： ---- (1) Target函数：要拦截的函数，通常为Windows的API。 ---- (2) Trampoline函数：Target函数的复制品。因为Detours将会改写Target函数，所以先把Target函数复制保存好，一方面仍然保存Target函数的过程调用语义，另一方面便于以后的恢复。 ---- (3) Detour 函数：用来替代Target函数的函数。 ---- Detours在Target函数的开头加入JMP Address_of_ Detour_ Function指令（共5个字节）把对Target函数的调用引导到自己的Detour函数， 把Target函数的开头的5个字节加上JMP Address_of_ Target _ Function+5作为Trampoline函数。例子如下： 拦截前：Target _ Function： ；Target函数入口，以下为假想的常见的子程序入口代码 push ebp mov ebp, esp push eax push ebx Trampoline: ；以下是Target函数的继续部分 …… 拦截后： Target _ Function： jmp Detour_Function Trampoline: ；以下是Target函数的继续部分 …… Trampoline_Function: ; Trampoline函数入口, 开头的5个字节与Target函数相同 push ebp mov ebp, esp push eax push ebx ；跳回去继续执行Target函数 jmp Target_Function+5 ---- 3． 为一个已在运行的进程装入一个DLL ---- 以下是其步骤： ---- (1) 创建一个ThreadFuction，内容仅是调用LoadLibrary。 ---- (2) 用VirtualAllocEx为一个已在运行的进程分配一片虚存，并把权限更改为可读可写可执行。 ---- (3) 把ThreadFuction的二进制机器码写入这片虚存。 ---- (4) 用CreateRemoteThread在该进程上创建一个线程，传入前面分配的虚存的起始地址作为线程函数的地址，即可为一个已在运行的进程装入一个DLL。通过DllMain 即可在一个已在运行的进程中运行自己的代码。 二． Detours库函数的用法 ---- 因为Detours软件包并没有附带帮助文件，以下接口仅从剖析源代码得出。 ---- 1． PBYTE WINAPI DetourFindFunction(PCHAR pszModule, PCHAR pszFunction) ---- 功能：从一DLL中找出一函数的入口地址 ---- 参数：pszModule是DLL名，pszFunction是函数名。 ---- 返回：名为pszModule的DLL的名为pszFunction的函数的入口地址 ---- 说明：DetourFindFunctio
DLL注入的方法及通讯
08-24
DLL注入的方法及通讯
DetourHook 使用实例
11-19
DetourHook demo 带lib vs2013 正常运行 DetourHook demo 带lib vs2013 正常运行
Detour实例（DETOUR库HOOK API）
04-03
一份利用DETOUR库HOOK API的实例代码，值得借鉴。。。。
detour
07-24
detour
Detour源码
11-13
Detour源码，进入目录中有src文件夹编译. Detour源码，进入目录中有src文件夹编译.
detour 例子
03-16
detour window api hook 钩子函数 微软detour的几个应用例子
testDetour_Detour_
10-01
hook捕获windows系统事件
APIHOOK例子（Detour）
08-03
一个简单实例，通过Detour来对系统API进行HOOK，拦截系统API，做自己想做的事情。欢迎微信交流 zhxunCC
detour_skip_jmp
最新发布
10-14
在实际应用中，我们可以通过调用一些特定的指令或函数，来实现detour_skip_jmp。通过这些指令或函数，我们可以改变程序的执行流程，使得程序在执行到指定的位置时直接跳转到指定的另一个位置继续执行。这样一来，...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值