Inline Hook

inline hook

说明

IAT hook 还是需要有先行条件的，就是导入表里面得有所使用函数的地址。

导入表里面没有被调函数的地址情况：

• 被调函数与调用函数在同一模块
• 直接自己使用LoadLibrary，GetProcAddress来加载函数

对于这种无法用IAT hook 的情况，我们可以使用inline hook。

inline hook 本质：就是jmp到我们需要执行的代码，执行完后再jmp回来。

需要注意的地方：注意保存通用寄存器、标志寄存器、然后在跳回去前复原被jmp指令代替的指令。

在我们执行的代码中，若对栈有操作，得注意堆栈平衡。对堆栈里面的值谨慎进行修改

步骤

1、安装Inline Hook

• 参数校验
• 判断要替换的硬编码长度是否合适
• 将要Hook的内存修改为可写：VirtualProtectEx或VirtualProtect
• 创建内存空间，存储替换前的硬编码
• 得到要跳转的值
  • 要跳转的地址 = E9的地址 + 5 +真正跳转的地址
  • –>E9后面的地址 = 要跳转的地址 - E9的地址 - 5
• 将要Hook的内存全部初始化成NOP (长度>5 )
• 修改要Hook的硬编码
• 修改hook状态

2、使用被Hook的函数

• 这时使用的就是钩子函数
• 钩子函数得是裸函数
  • 保存寄存器
  • 获取数据
  • 恢复寄存器
  • 执行被覆盖的硬编码
  • 执行完毕 跳回Hook地址

3、卸载Inline Hook

• 判断是否需要卸载，没Hook当然就不需要卸载
• 修改内存为可写：VirtualProtectEx或VirtualProtect
• 恢复原来的硬编码
• 修改hook状态

Inline Hook 最需要注意的就是自己更改的硬编码需要将其还原，不能多加也不能少添。

#include <iostream>
#include <windows.h>
#define REPLACESIZE 5		//最少需要5字节替换，jmp 0x412345
using namespace std;

//最好全局变量 因为无需使用推栈  不担心栈平衡
DWORD dwParaX; 
DWORD dwParaY;
char szBuffer[20] = { 0 };

//全局变量 
DWORD g_RetAddr;
DWORD g_HookFlag;
LPVOID lpCodeBuffer;
DWORD g_JmpAddr;
DWORD g_FunAddr;
DWORD g_HookProc;
DWORD g_CodeSize;
DWORD g_Protect;

//Hook函数 裸函数
extern "C" _declspec(naked) void HookProc()
{
	//保存寄存器的值
	__asm
	{
		pushad
		pushfd
	}

	//获取数据
	__asm
	{
		mov eax, DWORD PTR SS : [esp + 0x28]
		mov dwParaX, eax
		mov eax, DWORD PTR SS : [esp + 0x2C]
		mov dwParaY, eax
	}
	//数字转字符
	sprintf_s(szBuffer, "参数X: %d,参数Y: %d", dwParaX, dwParaY);
	MessageBoxA(NULL, szBuffer, "Hook", MB_OK);

	//恢复寄存器
	__asm
	{
		popfd
		popad
	}
	
	//执行被覆盖的硬编码  被覆盖的函数开始的硬编码  这里调用函数用的jmp作了一个中转，没有到函数里面
	//__asm
	//{
	//	push  ebp
	//	mov   ebp, esp
	//	sub   esp, 0C0h
	//}

	//跳回去
	__asm
	{
		jmp g_RetAddr
	}
}

//原来的函数
DWORD Plus(DWORD x, DWORD y)
{
	return x + y;
}

//安装Inline Hook
void SetInlineHook(DWORD FunAddr, DWORD HookProc, DWORD CodeSize)
{
	//参数校验
	if (FunAddr == 0 || HookProc == 0)
	{
		cout << "地址为0" << endl;
		return;
	}
	
	//判断要替换的硬编码长度是否合适
	if (CodeSize < REPLACESIZE)
	{
		cout << "CodeSize < 5" << endl;
		return;
	}

	//将要Hook的内存修改为可写
	DWORD i_OldProtect;
	//第一种：VirtualProtectEx(GetCurrentProcess(), (LPVOID)FunAddr, CodeSize, PAGE_EXECUTE_READWRITE, &OldProtect);
	//自己进程不需要VirtualProtectEx
	VirtualProtect((LPVOID)FunAddr, CodeSize, PAGE_EXECUTE_READWRITE, &i_OldProtect);

	//创建内存空间，存储替换前的硬编码
	lpCodeBuffer = malloc(CodeSize);
	if (lpCodeBuffer == NULL)
	{
		cout << "创建内存空间错误" << endl;
		return;
	}
	memcpy(lpCodeBuffer, (LPVOID)FunAddr, CodeSize);

	//得到要跳转的值  E9后面的地址 =  要跳转的地址 -  E9的地址 - 5 
	g_JmpAddr = HookProc - FunAddr - 5;

	//将要Hook的内存全部初始化成NOP
	memset((LPVOID)FunAddr, 0x90, CodeSize);

	//修改要Hook的硬编码 
	*(PBYTE)FunAddr = 0xE9;
	*(PDWORD)((PBYTE)FunAddr + 1) = g_JmpAddr;

	//修改hook状态
	g_HookFlag = 1;
	g_RetAddr = FunAddr + CodeSize;
	g_FunAddr = FunAddr;
	g_HookProc = HookProc;
	g_CodeSize = CodeSize;
	g_Protect = i_OldProtect;

	//还原属性
	VirtualProtect((LPVOID)FunAddr, CodeSize, i_OldProtect, &i_OldProtect);
	
}

void UnInlineHook()
{
	//判断是否需要卸载
	if (!g_HookFlag)
	{
		cout << "没安装，不需要卸载" << endl;
		return;
	}
	//内存修改为可写
	DWORD u_OldProtect;
	VirtualProtect((LPVOID)g_FunAddr, g_CodeSize, PAGE_EXECUTE_READWRITE, &u_OldProtect);

	//还原
	memcpy((LPVOID)g_FunAddr, lpCodeBuffer, g_CodeSize);
	VirtualProtect((LPVOID)g_FunAddr, g_CodeSize, g_Protect, &g_Protect);

	//修改hook状态
	g_HookFlag = 0;
	g_RetAddr = 0;
	g_FunAddr = 0;
	g_HookProc = 0;
}

//主函数
int main()
{

	//安装Inline Hook
	SetInlineHook((DWORD)Plus, (DWORD)HookProc, 5);

	//执行函数
	system("pause");
	Plus(1, 3);

	//卸载Inline Hook
	UnInlineHook();

	//执行函数
	system("pause");
	Plus(1, 3);
}

实验说明：
在调用函数时会先跳转到我hook的代码，然后再跳回来。CE软件里面有个注入代码模板使用的就是Inline Hook