aardio - 远程APIHOOK拦截弹窗

12 篇文章 2 订阅

为了写这个教程,自己写了个CrackMe。(总不能拿别人的软件写教程,那就侵权了^-^)

运行效果如下:

软件运行后,弹出广告网址和信息框。我们的目的就是去掉这两个东西。

一、分析:

1、弹出网址,因为用的默认浏览器,而不是ie,所以一般都是用ShellExecute函数。

2、信息框,一般是MessageBox函数,如果是自动关闭的,就是MessageBoxTimeout函数。

二、hook方式:

目前我觉得比较简单实用的有三种:

1、写dll,定义替代函数,然后用aardio进行注入+hook。

2、写dll,在dll里写hook代码,然后用aardio注入即可。

3、写dll,在dll里写hook代码,然后在exe里添加输入表。当然,这就跟aardio无关了,咱们就暂不考虑这种最简单的方式了。

三、第一种方式:

以第一种方式为例,演示如何用aardio进行外部api的hook。示例中的文件名结尾都为1。

1、写dll,定义替代函数。替代函数要与目标函数参数数量一致。以易语言为例,代码如下:

编译为 func1.dll

2、用aardio代码进行hook,hook时自动进行注入。代码如下:

import process.apiHook
//启动并暂停进程
var p=process.apiHook("\CrackMe.exe",,{suspended=true})
//安装hook,钩住ShellExecuteA函数,用自定义的函数代替
p.install("shell32.dll", "ShellExecuteA","\func1.dll", "myShellExecuteA")
//安装hook,钩住MessageBoxA函数,用自定义的函数代替
p.install("user32.dll", "MessageBoxA","\func1.dll", "myMessageBoxA")
//恢复进程
p.resume()

3、运行效果,不会再弹出广告网址和信息框:

四、第二种方式:

以第二种方式为例,演示如何用aardio进行外部api的hook。示例中的文件名结尾都为2。

1、写dll,在dll里写hook代码,这样灵活性巨大。

 编译为 func2.dll

2、然后用aardio注入即可。

import process.apiHook
// 启动并暂停目标进程
var p=process.apiHook("\CrackMe.exe",,{suspended=true})
// 注入dll
// 特别注意这里的一个小坑:文件要提供全路径名,不能用相对路径。
p.loadLibrary(..io.localpath("\func2.dll"))
// 恢复进程
p.resume()

3、运行效果:

五、其他:

1、因为aardio的hook没有把原函数地址记录到目标进程,所以自定义的函数无法继续访问真正的函数地址。可以通过与dll通讯告知dll原函数地址进行解决,当然,需要动手能力较强的去做。

2、直接在dll中进行hook,就避免了第1个问题。

六、相关资源下载:

https://wwd.lanzoup.com/i9VzYzqn9cf

x64进程远程hook,x64_远程调用函数,源码更新V1.8.2:2021/4/12 源码为下方连接帖子后续更新内容: 浅谈64位进程远程hook技术: https://bbs.125.la/forum.php?mod=viewthreadtid=14666356extra= 不管您是转载还是使用请保留版权,源码在精益论坛免费发布本人未获利,请不要用于非法途径。 --------------------------------------------------------------- 2021/4/12 模块源码 v1.8.2更新 1:修复 x64_远调用函数()在 易语言 主线程调用时造成消息无法回调,导致易语言主线程窗口卡死的问题。      感谢楼下易友发现的BUG,已经第一时间更新 2021/4/12 模块源码 v1.8.1更新 1:修复 hook全部卸载时的流程写法的一个错误,由于句柄的提前关闭导致多个hook点卸载不干净的问题 2:改写了消息回调时线程传参的代码优化,优化了其他一些小问题 3:  鉴于很多朋友需要,改写了模块自带实列,对TCP,UDP的两组封包函数做了hook实列写法 4:列子中同样增加对x64_远调用函数()的应用写了几个列子,如使用套接字取得本地或远端IP端口API调用的的应用实列 5:本hook模块不支持非模块内存区hook,如申请的动态分配页等,不是不能支持,只是觉得没有任何意义,对这方面有需求的,自行改写模块源码使用 提醒:hook回调函数中尽量减少耗时代码,时间越长返回越慢,回调中谨慎操作控件,如必须要用到可参考源码中实列写法采用线程操作 历史更新 --------------------------------------------------------------- 2021/3/1   模块源码v1.6更新: 1:修复  x64_远程调用函数()命令,在没有提供 寄存器 参数时,没有返回值的BUG。 --------------------------------------------------------------- 2021/2/28 模块源码v1.5更新: 一:修复win7 64位系统下枚举模块 出现部分模块长度出现负数的问题,从而导致部分win7用户不能使用 二:强化 远程hook64指令_安装 的稳定性:        1,穿插代码中增加对标志位的保护,避免hook位置长度下一条指令为跳转时产生跳转错乱的问题,强化了hook任意位置的定位        2,因为穿插代码中会调用API函数,而64位汇编必须遵守栈指针16字节对齐,故对穿插代码进行栈指针16字节对齐,增强稳定性        3,hook指令安装支持长度由6-127字节 变动 为 6-119字节,原因么没必要说了,代码优化造成的,稍微少了一点无所谓了        4,对模块回调进行了适当优化处理,增强稳定性 三:应支持的朋友需要故增加 x64_远程调用函数()命令,易语言可以直接远call64进程,且无需写汇编代码或机器码指令,支持15个参数,支持返回值,支持16个通用寄存器全部取得返回值       该功能调用即16字节栈对齐,不要用户管堆栈,代码内部构成,远线程执行,你只需要知道call有几个参数,需要什么寄存器,对应提供即可。 四:有朋友说原模块x64英文看了烦,那好吧就给改成了中文标识,弄得我自己也不习惯 五:源码内列子改了改,可以自己看,需要注意的是模块注释的很详细,使用前最好看一看,尤其是hook回调接口的写法和安装的写法最好按照模块列子中的写法来,除非你能把64hook模块组看懂一遍,对于一些对本模块一知半解的朋友请不要乱改乱发,这个模块我会继续增强的,只是工作原因时间有限,只能一点一点来
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

卢光庆

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值