Windows平台实现内存hook，改写别人的函数

最新推荐文章于 2024-05-06 11:23:58 发布
最新推荐文章于 2024-05-06 11:23:58 发布
阅读量3.5k 收藏 36
点赞数 24
分类专栏： windows 文章标签： c++
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41252394/article/details/106864295
版权

内存Hook

功能: 把其他人写的函数或者库中的函数在调用的时候跳转到自己写的函数中

1.实现所用到的Windows api

//写入进程内存
WriteProcessMemory(
PVZ_handle, //进程句柄
(LPVOID)address, //起始地址
date, //写入数据
sizeof(date), //写入长度
NULL);//返回值非零值代表成功。

//读进程内存
BOOL ReadProcessMemory(
HANDLE hProcess,//进程句柄
PVOID pvAddressRemote,//从读取地址 
PVOIDpvBufferLocal, //读缓冲区
DWORD dwSize, //读的大小
PDWORDpdwNumBytesRead//函数返回，实际写入缓冲区多少
);

//修改进程内存的属性  如可读可写属性
BOOL VirtualProtectEx(
HANDLE hProcess, // 要修改内存的进程句柄
LPVOID lpAddress, // 要修改内存的起始地址
DWORD dwSize, // 页区域大小
DWORD flNewProtect, // 新访问方式
PDWORD lpflOldProtect // 原访问方式 用于保存改变前的保护属性
);

//获取进程的handle
GetCurrentProcess()

2.实现的核心

思路:
2.1 修改所要hook函数的机器码，直接改成 jmp 相对地址
2.2 在汇编中jmp跳转的实际地址是 ip寄存器 + jmp后面的地址 所以是相对与当前的地址
2.3 汇编中的额jmp指令对应的机器码之一有一个是 ‘0xE9’ ，‘0xE9’后面可以跟一个4字节的地址，在32位程序中完全够用
2.4 ip寄存器指向的是下一个指令代码，在修改后 ‘E9 0x-------’占了5个字节。所以相对地址的计算方式是’目标地址 - hook的函数地址 - 5’
char write_data[5] = { 0xE9 }; //jmp 指令
unsigned long addr = (unsigned long)des_addr - (unsigned long)src_addr - 5;//计算相对地址
memcpy(write_data + 1, &addr, 4);//将计算后的相对地址值拷贝
WriteProcessMemory(GetCurrentProcess(), (LPVOID)src_addr,write_data,sizeof(write_data), NULL);//写入内存

3. 实现代码

#ifndef __MEMHOOK_H__
#define __MEMHOOK_H__

#include <Windows.h>
#include <stdint.h>

#ifdef _WIN64

#define LENGTH 12

#else

#define LENGTH 5

#endif

//返回码
#define SUCCESS						0  //成功
#define READMEM_ERROR				1  //读内存错误
#define WRITEMEM_ERROR				2  //写内存错误
#define EVISEMEM_ERROR				3  //修改内存属性错误
#define PARAMETER_ERROR				4  //参数错误

#ifdef __cplusplus
extern "C"
{
#endif

	typedef struct hook_struct
	{
		void *src_addr;  //被hook函数的地址
		void *des_addr;  //跳转的目的地址
		char buf[LENGTH];//备份缓冲区-->修改内存的原理的备份
		int retcode;     //返回码
	}hook_struct;
	//初始化hook，写入hook的目标，和跳转的函数
	int hook_init(struct hook_struct *hook, void *src_addr, void *des_addr);

	int hook_undata(struct hook_struct *hook, void *src_addr, void *des_addr);
	//开始hook
	int hook_install(struct hook_struct *hook);
	//解除hook
	int hook_uninstall(struct hook_struct *hook);
	
	int hook_uninit(struct hook_struct *hook);

#ifdef __cplusplus
}
#endif

#endif
重点写了32位 int hook_install(struct hook_struct *hook);int hook_uninstall(struct hook_struct *hook);的注释重点看懂核心部分就行了。由于x64实现和之前讲的不是一样的方法实现跳转并且暂时是不稳定的不建议使用(后面说明原因)，x64我的实现思路是改为mov rax,0x----- jmp rax但是占了12个字节
#include "memhook.h"

#ifdef _WIN64

int hook_init(struct hook_struct *hook, void *src_addr, void *des_addr)
{
	if (hook == NULL || src_addr == NULL || des_addr == NULL) return -PARAMETER_ERROR;

	hook->src_addr = src_addr;
	hook->des_addr = des_addr;
	hook->retcode = 0;
	memset(hook->buf, 0, sizeof(hook->buf));

	return SUCCESS;
}

int hook_undata(struct hook_struct *hook, void *src_addr, void *des_addr)
{
	return hook_init(hook, src_addr, des_addr);
}

int hook_install(struct hook_struct *hook)
{
	if (hook == NULL) return -PARAMETER_ERROR;

	DWORD OldProtect = 0;
	if (VirtualProtectEx(GetCurrentProcess(), (LPVOID)hook->src_addr, LENGTH, PAGE_EXECUTE_READWRITE, &OldProtect) == FALSE)
	{
		hook->retcode = -EVISEMEM_ERROR;
		return -EVISEMEM_ERROR;
	}

	SIZE_T length = 0;
	if (ReadProcessMemory(GetCurrentProcess(), (PVOID)hook->src_addr, hook->buf, LENGTH, &length) == FALSE)
	{
		hook->retcode = -READMEM_ERROR;
		return -READMEM_ERROR;
	}

	unsigned char write_data[LENGTH] = { 0x48,0xB8 };
	memcpy(write_data + 2, &hook->des_addr, 8);
	write_data[LENGTH - 2] = 0xFF;
	write_data[LENGTH - 1] = 0xE0;
	if (WriteProcessMemory(GetCurrentProcess(), (LPVOID)hook->src_addr, write_data, sizeof(write_data), NULL) == FALSE)
	{
		hook->retcode = -WRITEMEM_ERROR;
		return -WRITEMEM_ERROR;
	}

	DWORD Protect = 0;
	if (VirtualProtectEx(GetCurrentProcess(), (LPVOID)hook->src_addr, LENGTH, OldProtect, &Protect) == FALSE)
	{
		hook->retcode = -EVISEMEM_ERROR;
		return -EVISEMEM_ERROR;
	}

	return hook->retcode;
}

int hook_uninstall(struct hook_struct *hook)
{
	if (hook == NULL) return -PARAMETER_ERROR;

	DWORD OldProtect = 0;
	if (VirtualProtectEx(GetCurrentProcess(), (LPVOID)hook->src_addr, LENGTH, PAGE_EXECUTE_READWRITE, &OldProtect) == FALSE)
	{
		hook->retcode = -EVISEMEM_ERROR;
		return -EVISEMEM_ERROR;
	}

	if (WriteProcessMemory(GetCurrentProcess(), (LPVOID)hook->src_addr, hook->buf, LENGTH, NULL) == FALSE)
	{
		hook->retcode = -WRITEMEM_ERROR;
		return -WRITEMEM_ERROR;
	}

	DWORD Protect = 0;
	if (VirtualProtectEx(GetCurrentProcess(), (LPVOID)hook->src_addr, LENGTH, OldProtect, &Protect) == FALSE)
	{
		hook->retcode = -EVISEMEM_ERROR;
		return -EVISEMEM_ERROR;
	}

	return SUCCESS;
}

int hook_uninit(struct hook_struct *hook)
{
	if (hook == NULL) return -PARAMETER_ERROR;

	hook->src_addr = NULL;
	hook->des_addr = NULL;
	hook->retcode = 0;
	memset(hook->buf, 0, sizeof(hook->buf));

	return SUCCESS;
}

#else

int hook_init(struct hook_struct *hook, void *src_addr, void *des_addr)
{
	if (hook == NULL || src_addr == NULL || des_addr == NULL) return -PARAMETER_ERROR;

	hook->src_addr = src_addr;
	hook->des_addr = des_addr;
	hook->retcode = 0;
	memset(hook->buf, 0, sizeof(hook->buf));

	return SUCCESS;
}

int hook_undata(struct hook_struct *hook, void *src_addr, void *des_addr)
{
	return hook_init(hook, src_addr, des_addr);
}
//hook 启动函数
int hook_install(struct hook_struct *hook)
{
	if (hook == NULL) return -PARAMETER_ERROR;

	DWORD OldProtect = 0;
	if (VirtualProtectEx(GetCurrentProcess(), (LPVOID)hook->src_addr, LENGTH, PAGE_EXECUTE_READWRITE, &OldProtect) == FALSE)//修改内存属性，把其改为可读写
	{
		hook->retcode = -EVISEMEM_ERROR;
		return -EVISEMEM_ERROR;
	}

	SIZE_T length = 0;
	if (ReadProcessMemory(GetCurrentProcess(), (PVOID)hook->src_addr, hook->buf, LENGTH, &length) == FALSE)//读备份 5个字节
	{
		hook->retcode = -READMEM_ERROR;
		return -READMEM_ERROR;
	}

	char write_data[LENGTH] = { 0xE9 };
	unsigned long addr = (unsigned long)hook->des_addr - (unsigned long)hook->src_addr - 5;
	memcpy(write_data + 1, &addr, 4);
	if (WriteProcessMemory(GetCurrentProcess(), (LPVOID)hook->src_addr, write_data, sizeof(write_data), NULL) == FALSE)//写入实现跳转
	{
		hook->retcode = -WRITEMEM_ERROR;
		return -WRITEMEM_ERROR;
	}

	DWORD Protect = 0;
	if (VirtualProtectEx(GetCurrentProcess(), (LPVOID)hook->src_addr, LENGTH, OldProtect, &Protect) == FALSE)//改回原来的属性
	{
		hook->retcode = -EVISEMEM_ERROR;
		return -EVISEMEM_ERROR;
	}

	return hook->retcode;
}
//解除hook
int hook_uninstall(struct hook_struct *hook)
{
	if (hook == NULL) return -PARAMETER_ERROR;

	DWORD OldProtect = 0;
	if (VirtualProtectEx(GetCurrentProcess(), (LPVOID)hook->src_addr, LENGTH, PAGE_EXECUTE_READWRITE, &OldProtect) == FALSE)
	{
		hook->retcode = -EVISEMEM_ERROR;
		return -EVISEMEM_ERROR;
	}

	if (WriteProcessMemory(GetCurrentProcess(), (LPVOID)hook->src_addr, hook->buf, LENGTH, NULL) == FALSE)//改回原来的5个字节
	{
		hook->retcode = -WRITEMEM_ERROR;
		return -WRITEMEM_ERROR;
	}

	DWORD Protect = 0;
	if (VirtualProtectEx(GetCurrentProcess(), (LPVOID)hook->src_addr, LENGTH, OldProtect, &Protect) == FALSE)
	{
		hook->retcode = -EVISEMEM_ERROR;
		return -EVISEMEM_ERROR;
	}

	return SUCCESS;
}

int hook_uninit(struct hook_struct *hook)
{
	if (hook == NULL) return -PARAMETER_ERROR;

	hook->src_addr = NULL;
	hook->des_addr = NULL;
	hook->retcode = 0;
	memset(hook->buf, 0, sizeof(hook->buf));

	return SUCCESS;
}

#endif

4.测试代码

我使用的环境是vs2017。大家可以把上面两段代码复制一下

在这里插入图片描述

#include <iostream>
#include <string.h>

#include "memhook.h"

struct hook_struct hook;

char* __cdecl Mystrncpy(
	char * _Str1,
	char const* _Str2,
	size_t      _MaxCount
) {
	std::cout << "Mystrncpy" << std::endl;

	std::cout << _Str1 << "\n" << _Str2 << "\n" << std::endl;

	return NULL;
}

void print_A()
{
	printf("A-------------------\n");
}

void print_B()
{
	printf("B-------------------\n");
}

int main(int argc,char *argv[])
{
	hook_init(&hook, strncpy, Mystrncpy); // 把strncpy hook 跳转到自己定义的Mystrncpy
	hook_install(&hook);//开始hook
	
	char dbuf[] = "hello qweqweeqeqweqwe";
	const char *sbuf = "hello world\n";
	strncpy(dbuf, sbuf,strlen(sbuf)+1);//调用被hook的函数

	std::cout << "hook 中" << std::endl;
	std::cout << dbuf << "\n" << sbuf << "\n" << std::endl;

	hook_uninstall(&hook);//解除hook

	std::cout << "解除 hook " << std::endl;
	strncpy(dbuf, sbuf, strlen(sbuf)+1);//再次调用
	std::cout << dbuf << "\n" << sbuf << "\n" << std::endl;

    hook_undata(&hook,print_A,print_B);

	hook_install(&hook);//hook后调用两次print_A();

	print_A();

	hook_uninstall(&hook);

	print_A();
    
	hook_uninit(&hook);

	return 0;
}
输出结果

在这里插入图片描述

5. 利用vs中的反汇编查看我们改写的机器码
5.1 原来的机器码 strncpy

在这里插入图片描述

修改后的

在这里插入图片描述

上面那段是用自己写的去hook库中的函数，下面我们来看一下两个自己写的函数

在这里插入图片描述

可以明显的看到我们hook成功了，并且没有改变的时候没有影响其他的内存。
特征:在vs中自己写的函数会先跳转到一个地方，那里有一堆跳转的指令，可以看到上图
5.2这个特征对64位程序hook的影响
首先还是看自己写的函数去hook库中的函数
原来的strncpy

在这里插入图片描述

修改后的

在这里插入图片描述

看起来好像没问题，那我们继续看 两个自己写的函数
原来的 print_A

在这里插入图片描述

修改后的

在这里插入图片描述

现在可以看到问题了，我的64位修改思路是mov rax,0x----- jmp rax 一共12个字节，但是因为这个特征，如果在hook的时候恰好调用了_acrt_iob_func那么就会出现问题。有这个特征意味着写64位hook的时候要注意的问题。
yanghuo11
关注
  • 24
    点赞
  • 踩
  • 36
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Hook内存读写源代码
12-10
Hook内存读写的源代码 包含模块 直接可编译
Hook WriteProcessMemory & ReadProcessMemory
06-08
这个小工具可以跟踪某些内存修改器或内存补丁的行为 源码地址http://download.csdn.net/source/1570845
『网络安全科普』Windows安全之HOOK技术机制
最新发布
weixin_42340783的博客
05-06 630
如你所知，Windows系统是建立在事件驱动的机制上的，而每一个事件就是一个消息，每个运行中的程序，也就是所谓的进程，都维护着一个或多个消息队列（消息队列的个数取决于进程内包含的线程的个数）。网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频HWND hwnd;//接受消息的窗口句柄。
windows - Hook技术介绍
tuan8888888的博客
10-13 1758
hook 介绍 Hook技术被广泛应用于安全的多个领域，比如杀毒软件的主动防御功能，涉及到对一些敏感API的监控，就需要对这些API进行Hook；窃取密码的木马病毒，为了接收键盘的输入，需要Hook键盘消息；甚至是Windows系统及一些应用程序，在打补丁时也需要用到Hook技术。接下来，我们就来学习Hook技术的原理。 分类 1、 SetWindowsHookEx Windows下的应用程序大部分都是基于消息机制的，它们都会有一个消息过程函数，根据不同的消息完成不同的功能。Windows操作系统提供的钩
Windows中的Hook机制
Albert_weiku的博客
06-27 4197
windows中的Hook技术被广泛应用于安全的多个领域，比如杀毒软件的主动防御功能，涉及到对一些敏感API的监控，就需要对这些API进行Hook；窃取密码的木马病毒，为了接收键盘的输入，需要Hook键盘消息；甚至是Windows系统及一些应用程序，在打补丁时也需要用到Hook技术。接下来，我们就来学习Hook技术的原理。...
hook函数教程（一）什么是钩子
weixin_30360497的博客
12-09 2049
一、什么是钩子　　 我们可以首先从字面上了解钩子，钩子是干什么的呢？日常生活中，我们的钩子是用来钩住某种东西的，比如，说，鱼钩是用来钓鱼的，一旦鱼咬了钩，钩子就一直钩住鱼了，任凭鱼在水里怎么游，也逃不出鱼钩的控制。同样的，Windows的钩子Hook也是用来钩东西的，比较抽象的是他是用来钩Windows事件或者消息的。最常见的就是鼠标和键盘钩子，用Hook钩子钩住鼠标、键盘，当你的鼠标、键盘有任...
windows HOOK学习（一）
prerfect_cat的博客
11-12 505
windows hook
Hook GetModuleFileNameW 改写返回结果-易语言
06-12
本示例是关于如何使用易语言（E语言）来Hook Windows API中的`GetModuleFileNameW`函数，以便改写其返回结果。`GetModuleFileNameW`是Windows API中的一个函数，用于获取指定模块的完整路径名，这里的"W"表示它处理...
x64进程远程hook，x64_远程调用函数，源码更新V1.8.7：2021/4/16-易语言
06-11
5：本hook模块不支持非模块内存区hook，如申请的动态分配页等，不是不能支持，只是觉得没有任何意义，对这方面有需求的，自行改写模块源码使用 提醒：hook回调函数中尽量减少耗时代码，时间越长返回越慢，回调中谨慎...
windows内存读写监视
02-26
本文将深入探讨Windows内存读写监视的相关知识点，包括原理、工具以及如何通过编程实现。 首先，内存读写监视的目的是为了跟踪和分析应用程序在运行过程中对内存的分配、释放和使用情况。这有助于优化程序性能，...
x64进程远程hook，x64_远程调用函数，源码更新V1.8.2：2021/4/12-易语言
06-11
5：本hook模块不支持非模块内存区hook，如申请的动态分配页等，不是不能支持，只是觉得没有任何意义，对这方面有需求的，自行改写模块源码使用 提醒：hook回调函数中尽量减少耗时代码，时间越长返回越慢，回调中谨慎...
HOOK原理详解
10-26
对大多数的Windows开发者来说，如何在Win32系统中对API函数的调用进行拦截一直是项极富挑战性的课题，因为这将是对你所掌握的计算机知识较为全面的考验，尤其是一些在如今使用RAD进行软件开发时并不常用的知识，这...
HOOK api readprocessmemory and writeprocessmemory
~~~jesse的专栏
10-05 4475
 编译环境：delphi 2010+windows 7 u ，用途读取其他程序中readprocessmemory和writeprocessmemory的参数，但不知读取偏移即a+($b),b是怎么读的  一 、用hook全局钩子 线程钩子：已实现 使用INLINE hookapi，CriticalSection临界区，dll分为动态loadlibry和静态加载问题1：对多线程目标
超级Hook及CE基址加偏移读取游戏数据
热门推荐
511遇见
11-30 1万+
我们通常采用大漠图色辅助和内存读取游戏人物的数据结合起来写游戏的外挂，这样我们既不破坏游戏的公平性，又弥补了大漠的不足，特别是一些游戏的血值，体力，蓝，以及坐标，采用了渐变色，大漠字库的制作就很麻烦，我们采用内存读取数据就方便的多，而超级Hook模块读取游戏数据，更为简单，不像找基址那样困难。 超级Hook及CE基址加偏移读取游戏数据 目前通过内存读取游戏数据方面一般有三种方式： 通过内存读取游戏数据，目前常用的方法有以下三种，各有优点，教程涉及了前两种。 1、[[基址+xxx]+xxx]+xx 基
内存泄漏专题（7）hook之宏定义
禹鼎侯的博客
07-26 412
在此之前，我们封装一个链表，用来存储每次申请内存的地址以及申请内存的大小，在每次申请内存的时候，向链表添加一条数据，每次释放的时候，将对应的记录删除掉，那么，当程序结束，如果链表还有数据，那就是没有释放的泄露部分的内存。我们注意在第1行包含了头文件，并在第4行和14行分别调用了mcheck的接口，这样的话，就可以检测出这个过程中出现的内存泄露问题，以上代码运行会产生一个名为。它告诉我们第6，11，13行分别出现了内存泄露，大小是多少，调用的那么函数申请的内存，还是比较详细的。函数时，先调用我们自己定义的。
学HOOK学的 API 函数、、VirtualQuery、、VirtualProtect、、 WriteProcessMemory
weixin_33785972的博客
07-21 495
先说一下MEMORY_BASIC_INFORMATION这个结构、、typedefstruct_MEMORY_BASIC_INFORMATION {PVOID BaseAddress;//区域基地址。与VirtualQuery函数的第一个参数lpAddr相同PVOID AllocationBase; //分配基地址指明用VirtualAlloc函数分配内存...
C/C++ Inline-hook（内联钩子）函数的实现，Linux/Windows AMD64 IL平台支持！
liulilittle的博客
11-05 596
Windows 平台（VC++ ##AMD64）钩子汇编指令：MOV RAX;Linux 平台（GCC ##AMD64）钩子汇编指令：JMP RVA。
【Windows系统编程】05.内存操作与InlineHook（详解InlineHook实现）
WdIg-2023的博客
08-17 374
内存相关操作，InlineHook实现详解
封装一个函数实现VT hook
05-27
以下是一个封装了VT hook函数的示例代码，可以实现对VT指令的拦截和替换： ```c++ #include <Windows.h> // 定义 VT hook 函数 BOOL VTHook(DWORD vtAddr, LPVOID hookFunc, LPBYTE orgCode) { // 检查 VT 指令地址是否有效 if (vtAddr == 0) return FALSE; // 备份原始的 VT 指令 memcpy(orgCode, (void*)vtAddr, 6); // 修改 VT 指令，跳转到钩子函数 BYTE hookCode[6] = { 0xE9, 0x00, 0x00, 0x00, 0x00, 0xCC }; DWORD hookAddr = (DWORD)hookFunc - vtAddr - 5; memcpy((void*)vtAddr, hookCode, 6); *(DWORD*)(vtAddr + 1) = hookAddr; return TRUE; } // 定义钩子函数 void hookFunc() { printf("VT instruction is hooked!\n"); // 恢复原始的 VT 指令 BYTE orgCode[6]; DWORD orgAddr = __readmsr(0xC0000080); memcpy((void*)orgAddr, orgCode, 6); // 跳转到原始的 VT 指令 __asm { jmp [orgAddr] } } int main() { // 获取 VT 指令地址 DWORD vtAddr = __readmsr(0xC0000080); // 安装 VT hook BYTE orgCode[6]; if (VTHook(vtAddr, hookFunc, orgCode)) { // 执行 VT 指令 __asm { mov eax, 0x1234 mov ebx, 0x5678 mov ecx, 0x9ABC vmcall } // 卸载 VT hook memcpy((void*)vtAddr, orgCode, 6); } return 0; } ``` 以上代码封装了一个VTHook函数，可以方便地安装和卸载VT hook。它还定义了一个钩子函数hookFunc，用于替换VT指令。在main函数中，它首先获取VT指令地址，然后调用VTHook函数来安装VT hook。安装完成后，它执行一个测试用的VT指令，触发钩子函数的调用。最后，它卸载VT hook，恢复原始的VT指令。需要注意的是，以上代码仅供演示VT hook的基本原理，实际应用需要根据具体场景进行设计和优化。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值