API钩取技术研究（三）—— Hot Patch Hook

最新推荐文章于 2024-10-10 16:56:20 发布
最新推荐文章于 2024-10-10 16:56:20 发布
阅读量415 收藏 2
点赞数 1
分类专栏： API Hook技术 文章标签： c语言 c++ 系统安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_55220082/article/details/131677313
版权

Hot-Patch Hook

基于全局“热补丁钩子”方式，实现一个窗口控制程序可以实现计算器calc.exe的进程隐藏。

文章目录

实验环境

VMware Workstation Pro 16.2.4 + Windows 7（32位）+ Microsoft Visual Studio 2010 Express，环境配置参考《VM安装windows7 32》

基本原理

  1. 使用全局钩取是指隐藏进程时需要钩取当前系统中运行的所有进程的ZwQuerySystemInformation()API，并且对后面将要启动运行的所有进程也做相同的钩取操作（当然操作是自动进行的），因此需要在stealth1.dll的基础上对创建新进程的API——CreateProcessA()和CreateProcessW()进行钩取。

  2. “热补丁钩子”相比于基于API修改进行钩取的方式方式，其工作原理以及特征如下：

    • 二次跳转：采用修改5个字节代码的方式，当每当程序内部调用CreateProcess时，自定义钩取函数NewCreateProcess都会反复执行脱钩/挂钩操作，不仅会造成整体性能低下，在多线程环境下还会产生运行时错误。使用热补丁技术修改7个字节代码，比修改5个字节代码更加稳定。以Kernel32.CreateProcessA()为例。API代码以2个字节的MOV EDI,EDI指令开始，上方还有5个nop指令，一共7个字节没有意义的指令，这就是为了方便打热补丁用的。将API起始代码前的5个字节修改为FAR JMP指令，然后将API起始代码处的2个字节修改为SHORT JMP指令跳转到前面FAR JMP处，这就是所谓的“二次跳转”。
    • 不需要在钩取函数内部进行“脱钩”/挂钩操作：使用“热补丁”技术钩取API时，不需要在钩取函数内部进行“脱钩”/挂钩操作。在5字节代码修改技术中“脱钩”/挂钩是为了“调用原函数”，而使用“热补丁”技术钩取API时，在API代码遭到修改的状态下也能正常调用原API。这是因为，从API角度看只是修改了其起始代码的MOVEDI,EDI指令（无意义的2个字节），从【API起始地址 + 2】地址开始，仍然能正常调用原API，且执行的动作也完全一样。以Kernel32.CreateProcessA()为例，从图2所示的原API起始地址(7C80236B）开始执行,与【API起始地址 + 2】的地址（7C80236B）开始执行，结果完全一样。这样钩取函数在获取原API时直接可以使用【API起始地址 + 2】，这样也能正常调用原API，去除了“脱钩”/挂钩操作，在多线程环境下使API钩取变得稳定。
      请添加图片描述

  3. 从上图（源自《逆向工程核心原理》）中的7C802366、7C80236B地址可以看到，虽然都是JMP指令，但指令形态不同。7C802366地址处的指令形式为E9 XXXXXXXX，大小为5个字节，被称为FAR JMP，用来实现远程跳转（可以跳转到进程内存用户区域中的任意位置)；而7C80236B地址处的指令形式为EB YY，大小为2个字节，被称为SHORT JMP，它只能以当前EIP为基准，在-128~127范围内跳转。IA-32指令中有些相同指令拥有不同指令形态。

  4. 值得注意的是，“热补丁”API钩取技术也不是万能的，使用时目标API必须满足它的适用条件(NOP*5指令+MOVEDI,EDI指令)，但是有些API却不能满足这些条件，比如下图的kernel32.GetStartInfoA() API就不可以使用“热补丁”API钩取技术进行钩取（图源自《逆向工程核心原理》）。
    在这里插入图片描述
    以及ntdll.dll提供的API（图源自《逆向工程核心原理》）。
    在这里插入图片描述

    • 并非所有API都能使用“热补丁”API钩取技术,所以使用前先确认要钩取的API是否支持它。若不支持，则要使用前面介绍过的5字节代码修改技术。
    • Ntdll.dll中提供的API代码都较短，钩取这些API时有一种非常好的方法，使用这种方法时先将原API备份到用户内存区域，然后使用5字节代码修改技术修改原API的起始部分。在用户钩取函数内部调用原API时，只需调用备份的API即可，这样实现的API钩取既简单又稳定。由于Ntdll.dll API代码较短，且代码内部地址无依赖性，所以它们非常适合用该技术钩取API。
                         ———《逆向工程核心原理》

  5. 与进程隐藏相关的其他原理详见《API钩取技术研究（二）—— Byte-Patch Hook》

实验过程

编写HideProc.cpp实现dll注入

为实现方便，本文的HideProc.cpp与《API钩取技术研究（二）—— Byte-Patch Hook》代码相似，只不过已经将要隐藏的进程calc.exe硬编码在dll中，实现dll注入就可以实现进程隐藏。所以，本文的HideProc.cpp删去了利用Filemapping技术实现进程名在exe和dll中共享的部分。

编写stealth2.dll实现Hot-Patch Hook

在stealth2.dll中进行全局热补丁钩子从而实现进程隐藏的操作，与《API钩取技术研究（二）—— Byte-Patch Hook》的stealth1.dll相比，新增加了hook_by_hotpatch()实现热补丁钩取、unhook_by_hotpatch()实现热补丁脱钩、钩取函数NewCreateProcessA()、钩取函数NewCreateProcessW()（ntdll.ZwQuerySystemInformation() API仍采用修改五个字节代码的方式钩取）这些部分的代码；并把要隐藏的进程硬性编码为计算器calc.exe进程（因此HideProc.cpp中只修改主函数，接收三个参数的输入命令）。

Ⅰ. 新增hook_by_hotpatch()实现热补丁钩取

将位于API起始地址的MOV EDI，EDI指令修改为EB YY（SHORT JMP指令），用于跳转至被修改的七个字节中的第一个字节。其中YY = 要跳转的地址（被修改的七个字节中的第一个字节） - 当前指令地址（被修改的七个字节中的第六个字节） - 当前指令长度2 = -7，-7的十六进制表示为0xF9。
请添加图片描述
API起始地址上方的5个NOP指令修改为E9 XXXXXXXX（FAR JMP指令），其中XXXXXXXX = 要跳转的地址（自定义钩取函数的起始地址pfnNew）- 当前指令地址（pFunc）-当前指令长度5 = (DWORD)pfnNew - ((DWORD)pFunc - 5) - 5 = (DWORD)pfnNew - (DWORD)pFunc。
在这里插入图片描述

Ⅱ. 新增unhook_by_hotpatch()实现热补丁脱钩

热补丁脱钩实际上就是恢复先前修改的七个字节为5个NOP指令（0x90）和1个MOV EDI EDI（0x8BFF）指令。
在这里插入图片描述

Ⅲ. stealth2.dll —— 增添钩取函数NewCreateProcessA()和NewCreateProcessW()

相对于stealth1.dll增添钩取函数NewCreateProcessA()和NewCreateProcessW()，两个函数代码相似。下面以NewCreateProcessA为例。与修改五字节钩取函数不同的是，NewCreateProcessA()中不再需要调用unhook_by_code和hook_by_code函数，而是添加了计算pFunc的语句，用来跳过API起始位置处的JMP YY指令，使得能够达到与调用原API一样的效果。
在这里插入图片描述

Ⅳ. stealth2.dll —— DllMain主函数

stealth2.dll在stealth1.dll新增加了hook_by_hotpatch()实现热补丁钩取、unhook_by_hotpatch()实现热补丁脱钩、钩取函数NewCreateProcessA()、钩取函数NewCreateProcessW()，ntdll.ZwQuerySystemInformation() API仍采用修改五个字节代码的方式钩取，因为其API起始部分不符合热补丁钩取的要求。
在这里插入图片描述

实现演示

Hot-Patch-Hook演示

参考:

SHOTJEE
关注
专栏目录
Android热更新技术的研究与实现(一)
Tomcat的Tom
10-18 3万+
1——必备引言——本文因为篇幅较长，可能会有错别字出现，望见谅。第一部分重点是将当下热门的热更新方案实现之后再研究，第二部分则是自己动手实现一个自己的热更新框架。Android热更新技术的研究与实现之研究篇———概念讲解——–热更新 相关概念这个词出现的时间已经很久了，感觉现在要找工作才来看是晚了不少，但是好东西什么时候学习都不晚的。 今天看到一句话，和大家分享下，人一生有三样东西是别人抢不走
HOOKAPI（三）——HOOK所有程序的MessageBox
02-02
本实例要实现HOOKMessageBox，包括MessageBoxA和MessageBoxW，其实现细节与HOOKAPI（二）中介绍的基本类似，唯一不同的是，本实例要实现对所有程序的HOOKMessageBox，即无论系统中哪一个程序调用MessageBox都会被...
API钩挂技术
B_H_L的专栏
07-26 1757
l  什么是API钩挂技术： API挂钩技术的目的就是：用自己的函数替换别人程序里的函数。当程序试图调用它原来应该使用的函数A的时候，我们将函数A替换成函数B，让程序调用B去进行我们想要的处理。 一个例子就是我们经常使用的屏幕取词软件，例如金山词霸和博雅等等。当鼠标指向一个英文或者中文单词的时候，就会在旁边给出相应的翻译。实现该类软件的一个方法就是使用API钩挂技术。当鼠标在屏幕上移动时系统会
简述API HOOK技术及原理
bing1564的博客
05-01 2421
我们观察内核代码的时候，很多时候一些函数调用都初始化的时候设置成回调函数的，例如上一个例子读取文件目录，那么proc有自己独有的读取目录处理函数，相对于的ext4、ceph、hpfs等等文件系统都有自己的处理函数，那么getdents的时候如何能调用到正确的处理函数呢？而在应用程序建立套接字的时候选择了v4还是v6，都是同一个系统调用（sys_socket），只是传入的参数是不一样的，那么内核根据传参的差异，灵活的选择使用不同函数来初始化套接字，不同的函数又使用各自对应的结构体来初始化后续的调用函数。
计算器显示中文数字
qq_39249347的博客
08-26 2461
通过向计算器进程插入用户的DLL文件，钩取IAT的user32.SetWindowTextW() API地址，负责向计算器显示文本的SetWindowTextW() API被钩取之后，计算器中显示出的将是中文数字，而不是原来的阿拉伯数字。 只需先将要钩取的API在用户的DLL中重定义，然后再注入目标进程即可，缺点是，如果想钩取的API不在目标进程的IAT中，那么就无法使用该技术进行钩取操作，换言之，如果要钩取的API是由程序代码动态加载DLL文件而使用的，那么我们将无法使用这项技术钩取它。 选定目标AP.
Inline Hook
weixin_30535913的博客
02-14 260
@author: dlive IAT Hook时如果要钩取的API不在IAT中(LoadLibrary后调用)，则无法使用该技术。而Inline Hook不存在这个限制。 0x01 Inline Hook原理 原理比较简单，将API代码的前5个字节修改为JMP xxxxxx 指令来钩取API。调用执行被钩取的API时，JMP XXXXXX指令被执行，转而跳转至Hook函数。 0x02 相关API ...
逆向工程核心原理读书笔记-API钩取之隐藏进程(一)
liujiayu2的专栏
06-09 1376
我们通过一个示例来练习在ProcExp.exe和taskmgr.exe中隐藏进程。钩取前后的原理图如下所示。 下面我们先测试一下代码。关于代码的使用很简单，就不再多说了。 我们来分析一下源代码，看看是怎么实现的。 HideProc.cpp [cpp] view plain copy #include "win
Android热更新技术的研究与实现Sophix
code_dream_wq的博客
09-01 892
所以阿里爸爸一直在进步着呢，知道技术存在问题就要去解决问题，这不，从Dexposed-->AndFix-->HotFix-->Sophix,技术是越来越成熟了。     Android热更新技术的研究与实现 ------必备引言------ 之前的比赛中第一篇博文介绍了kotlin语言：， 第二篇是正在重构为kotlin的项目kibo，主要侧重于使用框架的讲解： 本...
Android热更新研究与实现
热门推荐
csdn_zxw的博客
07-11 1万+
第一部分重点是将当下热门的热更新方案实现之后再研究，第二部分则是自己动手实现一个自己的热更新框架。 Android热更新技术的研究与实现之研究篇 ———概念讲解——– 热更新 相关概念 这个词出现的时间已经很久了，感觉现在要找工作才来看是晚了不少，但是好东西什么时候学习都不晚的。 今天看到一句话，和大家分享下，人一生有三样东西是别人抢不走的： 吃进胃里的食物 藏在心中的梦想 读进...
易语言调试器脱离
07-21
易语言调试器脱离源码,调试器脱离,获取函数地址,调试器脱钩,ZwSetInformationThread,API_GetModuleHandle,API_GetCurrentThread,API_GetProcAddress
HOOKAPI（四）——进程防终止
02-26
这算是一个实战吧，做的一个应用需要实现进程的防终止保护，查了相关资料后决定用HOOKAPI的方式实现。起初学习HOOKAPI的起因是因为要实现对剪切板的监控，后来面对进程保护这样一个需求时，综合各方资料并自己动手...
HOOKAPI（二）——HOOK自己程序的MessageBox
02-26
以下将给出一个简单的例子，作为HOOKAPI的入门。这里是HOOK自己程序的MessageBox，即将自己程序对MessageBoxAPI的调用重定向到自己实现的API中，在自己定义的API中实现内容的替换。需要注意的是，本例子的HOOK仅仅对...
API-HOOK.rar_api hook_hook api_hook 实现划词_屏幕取词_屏幕取词api
09-20
总的来说，这个API_HOOK源码提供了一个了解和学习如何利用API Hook技术实现屏幕取词功能的实例，涵盖了Windows编程、Hook技术以及可能的NLP应用。对于想要深入理解Windows系统级编程和Hook机制的开发者来说，这是一...
C语言贪吃蛇
liu_qiang_dage的博客
10-07 3876
只讲逻辑不讲一些基础，基础大概过一遍就行#仓库里面有原代码。
C语言-输入输出
ACM
10-10 1042
编写一个 C 程序，要求用户输入两个整数，并输出它们的和、差、积。如果运行程序后控制台窗口一闪而过，可以在代码中添加。编写一个 C 程序，要求输出两行字符，内容自定义。在左侧的项目管理器中，展开项目，双击。在左侧的项目管理器中，展开项目，双击。函数接收用户输入，使用。
C语言 | 第十四章 | 指针运算 指针数组 多重指针
最新发布
ZJC744575的博客
10-10 1216
理解逐过程和逐语句的操作，灵活使用相应的快捷键。（可以使用断点调试查看冒牌排序的运行过程）指针是C语言的精华，也是C语言的难点。指针，也就是内存的地址；所谓指针变量，也就是保存了内存地址的变量。关于指针的基本使用，在讲变量的时候做了入门级的介绍。获取变量的地址，用&，比如： int num = 10, 获取num的地址：&num。指针类型，指针变量存的是一个地址，这个地址指向的空间存的才是值比如：intptr 就是指向 int 类型的指针变量, 即 ptr 是 int * 类型。(取值符号)
PyQt 的Tree Widget中拖放和点击的异常行为
weixin_44617651的博客
10-10 475
在 PyQt 的 ​​QTreeWidget​​ 中，如果你遇到 拖放 和 点击 的异常行为，可能是由于信号处理、事件拦截、拖放设置或树结构配置等问题导致的。以下是一些可能的常见问题和解决方案。
C语言[函数实现模块化程序设计]
2401_87108776的博客
10-09 409
函数的名字函数的类型函数参数的名字及类型函数的功能。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值