Hook技术:奇妙的调试Hook技术详解(附源码)

最新推荐文章于 2022-11-23 01:19:46 发布
最新推荐文章于 2022-11-23 01:19:46 发布
阅读量2.6k 收藏 17
点赞数 6
分类专栏： HOOK技术
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43742894/article/details/106006500
版权

为什么叫做奇妙的调试Hook呢？因为在学习《逆向工程核心原理》的过程中，发现hook的方式千变万化，越觉得欣喜，相较于其他的Address Hook、Inline Hook，调试Hook让我觉得独特。

调试Hook

什么是调试Hook？

调试Hook是通过调试方式进行的API钩取函数。
在这之前我们先了解一点调试器的知识。
调试器用来确认被调试者是否正确运行，发现未知的错误。调试器能够逐一执行被调试者的指令，拥有对调试器与内存的所有访问权限。
每当被调试者发生调试事件时，OS就会暂停并向调试器报告此事件，调试器做适当处理后，会使被调试进程继续执行。
在这里插入图片描述
读上面，调试器能够逐一执行被调试者的指令，拥有对调试器与内存的所有访问权限这一句说明了调试hook的可行性。我们使用调试hook，就相当于实现了一个最简单的调试器,而对被调试进程进行修改内存是很正常的事件,因此被查杀可能性低。

实现原理

伪装成调试器行为进行hook，采用对目标API入口地址下断点，当调用时即断下,截获参数内容后进行修改.这时可以通过修改eip的值让其跳转到任意地址.
这种方式没有文件等其他操作,它就相当于实现了一个最简单的调试器,而对被调试进程进行修改内存是很正常的事件,因此被查杀可能性低

实现流程

基本思路是：
在“调试器—被调试者”的状态下，将被调试者的API起始部分修改为0xCC，控制权转移到调试器后执行指定操作，最后使被调试者重新进入运行状态。
具体的实现流程：
1、对想要钩取的进程进行附加操作(DebugActiveProcess)，使之成为被调试者。
2、将要钩取的API的起始地址的第一个字节修改为0xcc(或者使用硬件断点)。
3、当调用目标API的时候，控制权就转移到调试器进程。
4、执行需要的操作。
5、脱钩，将API 函数的第一个字节恢复。
6、运行相应的API。
7、再次修改为0xCC，为了继续钩取
8、控制权返还被调试者

实战练习

我们以钩取Notepad.exe的WriteFile()API为例。
实现功能：在保存文件时操作输入参数，将小写字母全部转换成大写字母。也就是说，在notepad中保存的文件内容时，输入的小写字母全部变成大写字母，然后再保存。

1.首先获得Notepad.exe的PID，附加为被调试进程。
PID为7816.
在这里插入图片描述
输入Notepad.exe的PID。
在这里插入图片描述
进行附加。

if (!DebugActiveProcess(dwProcessID))
	{
		printf("DebugActiveProcess(%d) failed!!!\n"
			"Error Code = %d\n", dwProcessID, GetLastError());
		return 1;
	}

2、将要WriteFile()的起始地址的第一个字节修改为0xCC
在进程创建的时候，捕捉到异常，进行处理。

while (WaitForDebugEvent(&DebugEvent, INFINITE))
	{
		dwContinueStatus = DBG_CONTINUE;

		// 调试事件为创建进程
		if (CREATE_PROCESS_DEBUG_EVENT == DebugEvent.dwDebugEventCode)
		{
			OnCreateProcessDebugEvent(&DebugEvent);
		}

获得WriteFile的地址，将首字节修改为0xCC，下软件断点。

// WriteFile()函数地址 WriteFileAddress = GetProcAddress(GetModuleHandleA("kernel32.dll"), "WriteFile");//获得WriteFile的地址 
// API Hook - WriteFile() 
//将WriteFile函数的首个字节改为0xcc 
memcpy(&CreateProcessDebugInfomation, &pDebugEvent->u.CreateProcessInfo, sizeof(CREATE_PROCESS_DEBUG_INFO)); 
ReadProcessMemory(CreateProcessDebugInfomation.hProcess,WriteFileAddress,&OldByte, sizeof(BYTE), NULL);//保存原函数首地址的首字节 
WriteProcessMemory(CreateProcessDebugInfomation.hProcess,WriteFileAddress,&INT3, sizeof(BYTE), NULL);//写入0xCC，下断。

3、当调用WriteFile()的时候，控制权就转移到调试器进程。
捕捉到断点异常，进入处理分发流程。

// 调试事件
		else if (EXCEPTION_DEBUG_EVENT == DebugEvent.dwDebugEventCode)
		{
			if (OnExceptionDebugEvent(&DebugEvent))
				continue;
		}

4、执行需要的操作。
这里我们执行的操作就是将小写变大写。

判断异常发生地址是否为我们的地址。

// 发生异常的地方是否为我们要钩取的函数
		if (WriteFileAddress == pExceptionRecord->ExceptionAddress)

1.脱钩，将0xCC恢复。

// #1. Unhook
			//   先恢复，以免进入死循环
			WriteProcessMemory(CreateProcessDebugInfomation.hProcess, WriteFileAddress,
				&OldByte, sizeof(BYTE), NULL);

2. 获得线程上下背景文 为了修改EIp的值，来使进程恢复正常运行

Context.ContextFlags = CONTEXT_CONTROL;
		GetThreadContext(CreateProcessDebugInfomation.hThread, &Context);

3. 获取WriteFile() 根据ESP来获得WriteFile 函数的参数，以达到修改数据的目的

Esp + 0x8：获取第二个参数
Esp + 0xC：获取第三个参数

			ReadProcessMemory(CreateProcessDebugInfomation.hProcess, (LPVOID)(Context.Esp + 0x8),&dwAddrOfBuffer, sizeof(DWORD), NULL);

			ReadProcessMemory(CreateProcessDebugInfomation.hProcess, (LPVOID)(Context.Esp + 0xC),&dwNumOfBytesToWrite, sizeof(DWORD), NULL);

4.把小写字母转换为大写字母后，覆盖WriteFile()缓冲区

获取数据缓冲区的地址和大小
之后将其内容读到调试器进程空间，把小写字母转换成大写字母。
然后将修改后的大写字母覆写到原位置。

#4.
		lpBuffer = (PBYTE)malloc(dwNumOfBytesToWrite + 1);
		memset(lpBuffer, 0, dwNumOfBytesToWrite + 1);

		// #5. WriteFile() 
		ReadProcessMemory(CreateProcessDebugInfomation.hProcess, (LPVOID)dwAddrOfBuffer,
			lpBuffer, dwNumOfBytesToWrite, NULL);
		printf("\n### original string ###\n%s\n", lpBuffer);

		// #6. 修改数据
		for (i = 0; i < dwNumOfBytesToWrite; i++)
		{
			if (0x61 <= lpBuffer[i] && lpBuffer[i] <= 0x7A)
				lpBuffer[i] -= 0x20;
		}

		printf("\n### converted string ###\n%s\n", lpBuffer);

		// #7. 调用原函数
		WriteProcessMemory(CreateProcessDebugInfomation.hProcess, (LPVOID)dwAddrOfBuffer,lpBuffer, dwNumOfBytesToWrite, NULL);

5、脱钩，将API 函数的第一个字节恢复。
把线程上下文的EIP地址修改为WriteFile()的起始地址，注意EIP当前的值为0xcc的下一条指令的地址。

		Context.Eip = (DWORD)WriteFileAddress;
		SetThreadContext(CreateProcessDebugInfomation.hThread, &Context);

6、运行相应的API。

7、再次修改为0xCC，为了继续钩取
再次钩取

WriteProcessMemory(CreateProcessDebugInfomation.hProcess, WriteFileAddress,
			&INT3, sizeof(BYTE), NULL);

8、控制权返还被调试者
重启被调试进程，使之继续执行。

// 运行
			ContinueDebugEvent(pDebugEvent->dwProcessId, pDebugEvent->dwThreadId, DBG_CONTINUE);
			Sleep(0);

Hook 结果
hook前：
在这里插入图片描述
hook后：
在这里插入图片描述

优缺点

优点：
1.该技术借助“调试”钩取，所以能够进行与用户更具交互性的钩取操作。
2.它就相当于实现了一个最简单的调试器,而对被调试进程进行修改内存是很正常的事件,因此被查杀可能性低
缺点：
1.会导致程序运行速度变慢，不适用于大型程序。
2.也是注意事项，32和32匹配，64和64匹配，本文32位。

源码示例

#include<Windows.h>
#include<iostream>
#include<stdio.h>

using namespace std;

LPVOID WriteFileAddress = NULL;   //
CREATE_PROCESS_DEBUG_INFO CreateProcessDebugInfomation;
BYTE INT3 = 0xCC, OldByte = 0;

BOOL OnCreateProcessDebugEvent(LPDEBUG_EVENT pDebugEvent)
{
	// WriteFile()函数地址
	WriteFileAddress = GetProcAddress(GetModuleHandleA("kernel32.dll"), "WriteFile");//获得WriteFile的地址

	// API Hook - WriteFile()

	//将WriteFile函数的首个字节改为0xcc
	memcpy(&CreateProcessDebugInfomation, &pDebugEvent->u.CreateProcessInfo, sizeof(CREATE_PROCESS_DEBUG_INFO));

	ReadProcessMemory(CreateProcessDebugInfomation.hProcess, WriteFileAddress,&OldByte, sizeof(BYTE), NULL);//保存原函数首地址的首字节

	WriteProcessMemory(CreateProcessDebugInfomation.hProcess, WriteFileAddress,&INT3, sizeof(BYTE), NULL);//写入0xCC，下断。

	return TRUE;
}

BOOL OnExceptionDebugEvent(LPDEBUG_EVENT pDebugEvent)
{
	CONTEXT Context;
	PBYTE lpBuffer = NULL;
	DWORD dwNumOfBytesToWrite, dwAddrOfBuffer, i;
	PEXCEPTION_RECORD pExceptionRecord = &pDebugEvent->u.Exception.ExceptionRecord;

	// BreakPoint exception 
	if (EXCEPTION_BREAKPOINT == pExceptionRecord->ExceptionCode)
	{
		// 发生异常的地方是否为我们要钩取的函数
		if (WriteFileAddress == pExceptionRecord->ExceptionAddress)
		{
			// #1. Unhook
			//   先恢复，以免进入死循环
			WriteProcessMemory(CreateProcessDebugInfomation.hProcess, WriteFileAddress,
				&OldByte, sizeof(BYTE), NULL);

			// #2. 获得线程上下背景文  为了修改EIp的值，来使进程恢复正常运行
			Context.ContextFlags = CONTEXT_CONTROL;
			GetThreadContext(CreateProcessDebugInfomation.hThread, &Context);

			// #3. WriteFile() 根据ESP来获得WriteFile 函数的参数，以达到修改数据的目的

			ReadProcessMemory(CreateProcessDebugInfomation.hProcess, (LPVOID)(Context.Esp + 0x8),
				&dwAddrOfBuffer, sizeof(DWORD), NULL);

			ReadProcessMemory(CreateProcessDebugInfomation.hProcess, (LPVOID)(Context.Esp + 0xC),
				&dwNumOfBytesToWrite, sizeof(DWORD), NULL);

			// #4.
			lpBuffer = (PBYTE)malloc(dwNumOfBytesToWrite + 1);
			memset(lpBuffer, 0, dwNumOfBytesToWrite + 1);

			// #5. WriteFile() 
			ReadProcessMemory(CreateProcessDebugInfomation.hProcess, (LPVOID)dwAddrOfBuffer,
				lpBuffer, dwNumOfBytesToWrite, NULL);
			printf("\n### original string ###\n%s\n", lpBuffer);

			// #6. 修改数据
			for (i = 0; i < dwNumOfBytesToWrite; i++)
			{
				if (0x61 <= lpBuffer[i] && lpBuffer[i] <= 0x7A)
					lpBuffer[i] -= 0x20;
			}

			printf("\n### converted string ###\n%s\n", lpBuffer);

			// #7. 调用原函数
			WriteProcessMemory(CreateProcessDebugInfomation.hProcess, (LPVOID)dwAddrOfBuffer,
				lpBuffer, dwNumOfBytesToWrite, NULL);


			free(lpBuffer);

			// 设置EIP的值来实现正常运行，注意EIP的值为0xcc的下一条指令的地址。
			Context.Eip = (DWORD)WriteFileAddress;
			SetThreadContext(CreateProcessDebugInfomation.hThread, &Context);

			// 运行
			ContinueDebugEvent(pDebugEvent->dwProcessId, pDebugEvent->dwThreadId, DBG_CONTINUE);
			Sleep(0);

			// 再次钩取
			WriteProcessMemory(CreateProcessDebugInfomation.hProcess, WriteFileAddress,
				&INT3, sizeof(BYTE), NULL);

			return TRUE;
		}
	}

	return FALSE;
}

void DebugLoop()
{
	DEBUG_EVENT DebugEvent;
	DWORD dwContinueStatus;

	// 等待调试事件
	while (WaitForDebugEvent(&DebugEvent, INFINITE))
	{
		dwContinueStatus = DBG_CONTINUE;

		// 调试事件为创建进程
		if (CREATE_PROCESS_DEBUG_EVENT == DebugEvent.dwDebugEventCode)
		{
			OnCreateProcessDebugEvent(&DebugEvent);
		}
		// 调试事件
		else if (EXCEPTION_DEBUG_EVENT == DebugEvent.dwDebugEventCode)
		{
			if (OnExceptionDebugEvent(&DebugEvent))
				continue;
		}
		// 调试进程退出
		else if (EXIT_PROCESS_DEBUG_EVENT == DebugEvent.dwDebugEventCode)
		{

			break;
		}


		ContinueDebugEvent(DebugEvent.dwProcessId, DebugEvent.dwThreadId, dwContinueStatus);
	}
}

int main(int argc, char* argv[])
{
	DWORD dwProcessID;
	cout << "Input ProcessID" << endl;
	cin >> dwProcessID;

	// Attach Process

	if (!DebugActiveProcess(dwProcessID))
	{
		printf("DebugActiveProcess(%d) failed!!!\n"
			"Error Code = %d\n", dwProcessID, GetLastError());
		return 1;
	}

	// 调试事件循环
	DebugLoop();

	return 0;
}

参考书籍：
《逆向工程核心原理》

王大碗Dw
关注
  • 6
    点赞
  • 踩
  • 17
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
微信2.8.0.121版本hook 源码
09-04
《微信2.8.0.121版本hook 源码详解》 在IT行业中，微信作为全球广泛使用的即时通讯工具，其内部机制和功能实现一直是开发者关注的重点。本篇将围绕“微信2.8.0.121版本hook源码”这一主题，深入探讨如何对微信进行...
minihook 源码
09-24
标题"minihook 源码"指的是一个名为"MinHook"的API钩子库的源代码。MinHook是一款轻量级的API钩子库，适用于x64和x86架构的系统。API钩子是一种技术，允许开发者监控或修改其他程序调用特定API函数时的行为。 **...
hook技术--调试法hook
weixin_30247307的博客
03-15 147
简介: 这种方法的具体hook实施比较灵活, 这里采用对目标API入口地址下断点,当调用时即 断下,截获参数内容后进行修改.这时可以通过修改eip的值让其跳转到任意地址. 这种方式没有文件等其他操作,它就相当于实现了一个最简单的调试器,而对被调试进程进行修改内存是很正常的事件,因此被查杀可能性低 下面是测试将notepad的内容在保存文件时小写全部转为大写 DWORD ...
API hook 单步调试
carl2380的专栏
03-07 1141
     [原创]详谈HOOK API的技术 - 论坛原创(汇编层面)       http://forum.eviloctal.com/thread-19092-1-1.html     Windows系统下各种HookApi的示例源码,包括网络、注册表、文件、对话筐、进程等各个方面,强烈推荐       http://www.pudn.com/downloads92/sourcecode/wi
怎么调试有Hook的DLL样本
WLINX
11-16 390
样本hash：5BBEFA25D955C4C5737A8C665AE48F1A 该样本VT和微步在线都能得到，属于parite家族，使用了多态变形技术进行躲避传统杀毒软件的特征码查杀。查壳发现有UPX壳，这个样本让我比较新奇的是，在你脱壳的时候就将恶意行为做完了，以开启全局钩子的方式将恶意DLL文件注入到多个进程，在注入DLL对进程进行判断，如果不是explorer则退出，并开启线程，对计算机中...
2022CTF培训（二）Hook进阶&反调试
最新发布
sky123博客
11-23 1340
已在 GitHub 上被开源。是微软官方的 Hook 软件包，用于监视和检测 Windows 上的 API 调用（实际上不仅仅限于对 API 函数的调用监控，还可以实现任意函数调用的监控，得益于非常易于使用的调用方式）。Detours 可以用于拦截 ARM，x86，x64 和 IA64 计算机上的二进制函数。Detours 最常用于拦截应用程序中的 Win32 API 调用，例如添加调试用的工具、 拦截代码在运行时动作等等。通过跳转到用户提供的回调函数的无条件来替换目标功能的前几条指令。
全局HOOK解析
輚至消亡
07-07 2093
全局HOOK主要利用SetWindowsHookEx函数。钩子有很多种类型，其目的是为了截获特定目的的Windows消息，也可以监控特定线程，只要第四个参数设定特定线程的TID。每当有特定消息被HOOK到时会触发特定的回调函数。每种钩子都有不同的回调函数来处理不同类型的消息。先看函数参数: HHOOK SetWindowsHookExA( int idHook, // 设定为W...
hook_hookapi_hook_源码
10-04
《Hook技术深度解析：以Hook_API为例》 在IT领域，Hook技术是一种强大的工具，它允许程序员拦截并处理系统中的特定事件或函数调用。在本文中，我们将深入探讨Hook技术，特别是针对API（应用程序接口）的Hook，通过...
HOOK互斥体源码分享(可供学习)
10-13
1. HOOK技术详解： HOOK机制的核心是安装一个"钩子"，这个钩子是一个回调函数，当指定的事件发生时，系统会调用这个函数。在易语言中，可以通过设置系统消息钩子来实现对消息的拦截。例如，WH_MOUSE_LL（低级鼠标...
通过修改EIP寄存器实现强行跳转并且注入DLL到目标进程里
10-21
通过修改EIP寄存器实现强行跳转并且注入DLL到目标进程里
hook支付宝源码
01-06
标题 "hook支付宝源码" 暗示了我们要探讨的是关于支付宝应用的源代码篡改技术，特别是通过hook机制来实现。Hook技术在Android开发中常用于动态改变应用的行为，而Xposed框架是这种技术的一个强大工具。Xposed允许...
OllyDebug调试技巧
eli的博客
11-26 1223
F2下断点，Alt+B打开断点编辑器，可编辑所有下过的断点，空格键可快速切换断点状态。 当位于某个Call中，这时想返回到调用这个Call的地方，可以按Ctrl+F9快捷键执行返回功能。这样OD就会停在遇到的第一个返回命令(Ret, Retf) 如果跟进系统dll提供的api函数中，此时想返回到应用程序领空里，可以按快捷键Alt+F9执行返回到用户代码命令 领空，实际上就是指在某一时刻，CPU执行的指令所在的某段代码的所有者。如004014F7这类地址一般是可执行文件领空，7C8114AB这类大地址一
（十二）mmdetection源码解读：MMCV 核心组件 HOOKS（一）
m0_37737957的博客
02-14 1888
一、Hook定义 二、mmdetection中，hook的使用流程 1、HOOKS = Registry('hook') 2、何时执行装饰器函数 3、装饰器函数作用 4、runner.register_training_hooks 5、register_lr_hook 6、build_from_cfg 7、register_hook 8、call_hook 三、总结
react hook
Xiang_Gong_Ya_的博客
06-21 138
Hook 是 React 16.8 的新增特性。它可以让你在不编写 class 的情况下使用 state 以及其他的 React 特性。 1.useState 设置和改变state，代替原来的state和setState 2.useEffect 代替原来的生命周期，componentDidMount，componentDidUpdate 和 componentWillUnmount 的合并版 3.useContext 不需要一层一层传参，可以直接组件传值 第一个参数，是函数，默认第一次渲染和更新时都会触发，
【windows核心编程】一个HOOK的例子
chiaozu5312的博客
12-01 126
一、应用场景 封装一个OCX控件，该控件的作用是来播放一个视频文件，需要在一个进程中放置四个控件实例。 由于控件是提供给别人用的，因此需要考虑很多东西。 二、考虑因素 1、控件的父窗口resize时需要控件也随之resize 子窗体不能知道父窗口的resize情况，...
使用调试钩子屏蔽全局钩子
huobengle
09-06 315
WH_DEBUG为调试钩子,用来给钩子函数除错。在系统调用系统中与其他Hook关联的Hook钩子例程之前，系统会调用WH_DEBUG Hook钩子例程。你可以使用这个Hook来决定是否允许系统调用与其他Hook关联的Hook钩子例程。WH_DEBUG调用DebugProc钩子例程。 DebugProc语法：LRESULT CALLBACK DebugProc( int nCode, ...
COM
SejWsyzxxn的博客
11-26 1362
转载的
4、USB调试模块
a986096115的博客
12-06 731
1、USB硬件初始化 底层初始化使用的CUBEMX，库函数版本F4_V1.25.具体配置如下 2、USB函数封装 USB通信中真正的收发数据都是在USB中断中进行的，所以为了确认USB不会被其他中断打断，将USB的抢占优先级设定为0。 先说一下实现的大概思路吧。 只是发送(MCU -> PC)的话，用到了一个消息队列，一个线程。 1、创建一个消息队列tx_mq，一个发送线程tx_thread 2、用户想要发送消息的时候，将消息存入tx_mq中。存入的消息满足一定条件时将消息发送至tx_th
HOOKAPI（三）——HOOK所有程序的MessageBox
02-26
本实例要实现HOOKMessageBox，包括MessageBoxA和MessageBoxW，其实现细节与HOOKAPI（二）中介绍的基本类似，唯一不同的是，本实例要实现对所有程序的HOOKMessageBox，即无论系统中哪一个程序调用MessageBox都会被重定向到我们实现的新的API中。之前说过，在Windows中，每个进程都有自己的地址空间，进程不能调用别的进程中的函数。这里涉及到一个关键，如何让我们实现的新的API调用地址存在于所有进程的地址空间中呢？如果这无法实现的话，其他进程就无法调用到我们所实现的API。这里涉及到的关键就是，如何将我们的代码注入到别的进程中。这里有一个实现手

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值