Detours的使用

Detours的使用

Detours开发包被下载回来会不能直接使用，安装完毕后需要自己使用nmake生成相应的DLL以及lib文件。这里我已经编译好了，随文附上，一共有四个文件，分别是detoured.dll、detoured.lib、detours.lib、detours.h。

我们需要编写一个DLL，然后将该DLL注入到目标进程的空间中，（注意这里我们需要将生成的hook.dll和detoured.dll都复制到目标进程目录，或者将他们复制到system32目录等地方）下面我给一个例子，如下所示：

// HOOK.CPP

#include "Detours.h"

 

#pragma comment(lib,"detours.lib")

#pragma comment(lib,"detoured.lib")

 

// 共享数据段

#pragma data_seg("MyData")

DWORD nPid = 0; // 受保护的进程PID

#pragma data_seg()

 

BOOL APIENTRY DllMain( HANDLE hModule,

                        DWORD   ul_reason_for_call,

                        LPVOID lpReserved )

{

switch (ul_reason_for_call)

{

case DLL_PROCESS_ATTACH:

case DLL_THREAD_ATTACH:

{

// 安装 HOOK

SetHook(TRUE);

break;

}

case DLL_PROCESS_DETACH:

{

// 卸载 HOOK

SetHook(FALSE);

}

case DLL_THREAD_DETACH:

default:

break;

}

     return TRUE;

}

 

/*

* 函数：SetHook

*

* 作用：安装/卸载 API HOOK

*

* 参数：TRUE - 安装，FALSE - 卸载

*

* 返回：无

*/

void SetHook(BOOL flag)

{

if (flag)

{

DetourRestoreAfterWith();

DetourTransactionBegin();

DetourUpdateThread(GetCurrentThread());

 

// HOOK 函数列表

DetourAttach(&(PVOID&)Old_OpenProcess, New_OpenProcess);

 

DetourTransactionCommit();

}

else

{

DetourTransactionBegin();

DetourUpdateThread(GetCurrentThread());

 

// 取消 HOOK 函数列表

DetourDetach(&(PVOID&)Old_OpenProcess, New_OpenProcess);

 

DetourTransactionCommit();

}

}

 

/*

* 函数：New_OpenProcess

*

* 作用：拦截系统 OpenProcess 函数调用

*/

HANDLE WINAPI New_OpenProcess(DWORD dwDesiredAccess,

   BOOL bInheritHandle,

   DWORD dwProcessId)

{

// 是否为可信任程序

if (strcmp(szCurrentApp, szTrustFile) != 0)

{

// 是否为受保护进程

if (dwProcessId == nPid)

{

return NULL;

}

}

 

return Old_OpenProcess( dwDesiredAccess,

bInheritHandle,

dwProcessId);

}

 

// HOOK.H

static HANDLE (WINAPI* Old_OpenProcess)(DWORD dwDesiredAccess,

BOOL bInheritHandle,

DWORD dwProcessId) = OpenProcess;

 

HANDLE WINAPI New_OpenProcess(DWORD dwDesiredAccess,

   BOOL bInheritHandle,

   DWORD dwProcessId);