代码实战硬件断点hook

最新推荐文章于 2023-08-19 21:19:56 发布

东北码农

最新推荐文章于 2023-08-19 21:19:56 发布

阅读量1k

点赞数

分类专栏：安全文章标签： hooks 安全

本文链接：https://blog.csdn.net/xjp342023125/article/details/122571070

版权

安全专栏收录该内容

7 篇文章 2 订阅

订阅专栏

见字如面，我是东北码农。

上文我们介绍了硬件断点，大家可以回顾一下。本文将介绍使用硬件断点+veh，实现硬件断点hook。

关注“东北码农”后，聊天框回复“硬件断点hook”，可以获取本文源码。

1、不修改原函数hook

硬件断点这个手法，我还是分析外挂时学到的。开始做反外挂时候，只会用xuetr、pchunter等工具查看游戏进程的inlinehook，分析修改了游戏的哪些代码，然后再防御。然后有一天，我发现了一个外挂不按套路出牌，没有修改任何代码实现了透视功能，我就很纳闷这个外挂是怎么实现的呢，不改代码我怎么防啊？

后来经过不断学习，才知道hook的方式有很多种，硬件断点hook就是其中一种比较隐蔽的hook方式，可以在不修改源函数的前提实现hook，这一点比inlinehook强。

2、VEH（Vectored Exception Handling）

2.1、VEH介绍

我们先来介绍一下VEH，先放一段微软官方描述。

参考资料：Vectored Exception Handling - Win32 apps | Microsoft Docs

Vectored exception handlers are an extension to structured exception handling. An application can register a function to watch or handle all exceptions for the application. Vectored handlers are not frame-based, therefore, you can add a handler that will be called regardless of where you are in a call frame. Vectored handlers are called in the order that they were added, after the debugger gets a first chance notification, but before the system begins unwinding the stack.

大概意思是，程序可以注册异常回调函数链表。当程序触发异常时，回调函数就会按照用户指定的顺序依次调用。

2.2、VEH 使用

向VEH链注册一个异常处理函数，可以使用windows提供的API，

<span style="background-color:#f5f5f5"><span style="color:#333333">PVOID <span style="color:#795da3">AddVectoredContinueHandler</span><span style="color:#333333">(</span>
  ULONG                       First<span style="color:#333333">,</span>
  PVECTORED_EXCEPTION_HANDLER Handler
<span style="color:#333333">)</span><span style="color:#333333">;</span>
</span></span>

First：是否插入VEH链头部。
Handler：异常处理函数。

接下来看一下异常处理函数，PVECTORED_EXCEPTION_HANDLER 的定义：

<span style="background-color:#f5f5f5"><span style="color:#333333">LONG <span style="color:#795da3">PvectoredExceptionHandler</span><span style="color:#333333">(</span>
  <span style="color:#333333">[</span>in<span style="color:#333333">]</span> _EXCEPTION_POINTERS <span style="color:#a71d5d">*</span>ExceptionInfo
<span style="color:#333333">)</span>
</span></span>

唯一的参数_EXCEPTION_POINTERS指向异常信息，定义如下：

定义如下：

<span style="background-color:#f5f5f5"><span style="color:#333333"><span style="color:#a71d5d">typedef</span> <span style="color:#a71d5d">struct</span> <span style="color:#795da3">_EXCEPTION_POINTERS</span> <span style="color:#333333">{</span>
  PEXCEPTION_RECORD ExceptionRecord<span style="color:#333333">;</span><span style="color:#969896">// 异常信息记录</span>
  PCONTEXT          ContextRecord<span style="color:#333333">;</span><span style="color:#969896">// 寄存器信息</span>
<span style="color:#333333">}</span> EXCEPTION_POINTERS<span style="color:#333333">,</span> <span style="color:#a71d5d">*</span>PEXCEPTION_POINTERS<span style="color:#333333">;</span>
</span></span>

异常处理函数的返回值很重要，控制着异常处理的后续行为：

To return control to the point at which the exception occurred, return EXCEPTION_CONTINUE_EXECUTION (0xffffffff). To continue the handler search, return EXCEPTION_CONTINUE_SEARCH (0x0).

返回-1：异常已处理，继续执行；
返回0：继续调用VEH链的其它处理函数。

3、硬件断点 hook 实战代码

介绍完硬件断点和veh后，我们就可以实现硬件断点hook了。我们先介绍一下思路：

设置VEH链异常处理函数。
设置硬件断点，监控原函数的执行事件。
执行原函数时，会触发异常调用我们的异常处理函数。
异常处理函数判断，如果是原函数地址，则修改rip寄存器，跳转到hook函数。

3.1、设置VEH链异常处理函数

异常处理函数，xx_hw_bp_veh的实现一会再介绍。

<span style="background-color:#f5f5f5"><span style="color:#333333"><span style="color:#a71d5d">static</span> <span style="color:#a71d5d">bool</span> <span style="color:#795da3">xx_init_hwbp_hook</span><span style="color:#333333">(</span><span style="color:#333333">)</span> <span style="color:#333333">{</span>
  <span style="color:#a71d5d">return</span> <span style="color:#795da3">xx_add_veh</span><span style="color:#333333">(</span>CALL_FIRST<span style="color:#333333">,</span> xx_hw_bp_veh<span style="color:#333333">)</span><span style="color:#333333">;</span>
<span style="color:#333333">}</span>
</span></span>

3.2、设置硬件断点

<span style="background-color:#f5f5f5"><span style="color:#333333"><span style="color:#a71d5d">class</span> <span style="color:#795da3">xx_hw_bp</span>
<span style="color:#333333">{</span>
<span style="color:#a71d5d">public</span><span style="color:#a71d5d">:</span>
  <span style="color:#a71d5d">struct</span> <span style="color:#795da3">bp_info</span> <span style="color:#333333">{</span>
    <span style="color:#a71d5d">void</span><span style="color:#a71d5d">*</span> src_ <span style="color:#a71d5d">=</span> <span style="color:#a71d5d">nullptr</span><span style="color:#333333">;</span>
    <span style="color:#a71d5d">void</span><span style="color:#a71d5d">*</span> dst_ <span style="color:#a71d5d">=</span> <span style="color:#a71d5d">nullptr</span><span style="color:#333333">;</span>
  <span style="color:#333333">}</span><span style="color:#333333">;</span>
<span style="color:#a71d5d">public</span><span style="color:#a71d5d">:</span>
  <span style="color:#a71d5d">void</span> <span style="color:#795da3">hook</span><span style="color:#333333">(</span><span style="color:#a71d5d">void</span><span style="color:#a71d5d">*</span> src<span style="color:#333333">,</span><span style="color:#a71d5d">void</span><span style="color:#a71d5d">*</span> dst<span style="color:#333333">,</span>HANDLE thread<span style="color:#333333">,</span><span style="color:#a71d5d">int</span> idx<span style="color:#333333">)</span>
<span style="color:#333333">{</span>
    <span style="color:#969896">//记录原函数与hook函数关系。</span>
    <span style="color:#969896">// TODO idx check</span>
    info_<span style="color:#333333">[</span>idx<span style="color:#333333">]</span><span style="color:#333333">.</span>src_ <span style="color:#a71d5d">=</span> src<span style="color:#333333">;</span>
    info_<span style="color:#333333">[</span>idx<span style="color:#333333">]</span><span style="color:#333333">.</span>dst_ <span style="color:#a71d5d">=</span> dst<span style="color:#333333">;</span>
    <span style="color:#969896">// 设置硬件断点</span>
    <span style="color:#795da3">xx_set_hw_bp</span><span style="color:#333333">(</span>thread<span style="color:#333333">,</span> idx<span style="color:#333333">,</span> src<span style="color:#333333">,</span> RW_EXE<span style="color:#333333">)</span><span style="color:#333333">;</span>
  <span style="color:#333333">}</span>
    <span style="color:#969896">// 获取原函数与hook函数映射</span>
  <span style="color:#a71d5d">void</span><span style="color:#a71d5d">*</span> <span style="color:#795da3">get_dst</span><span style="color:#333333">(</span><span style="color:#a71d5d">void</span><span style="color:#a71d5d">*</span> src<span style="color:#333333">)</span> <span style="color:#333333">{</span>
    <span style="color:#a71d5d">for</span> <span style="color:#333333">(</span><span style="color:#a71d5d">int</span> i <span style="color:#a71d5d">=</span> <span style="color:#0086b3">0</span><span style="color:#333333">;</span> i <span style="color:#a71d5d"><</span> <span style="color:#0086b3">4</span><span style="color:#333333">;</span> <span style="color:#a71d5d">++</span>i<span style="color:#333333">)</span> <span style="color:#333333">{</span>
      <span style="color:#a71d5d">if</span> <span style="color:#333333">(</span>src <span style="color:#a71d5d">==</span> info_<span style="color:#333333">[</span>i<span style="color:#333333">]</span><span style="color:#333333">.</span>src_<span style="color:#333333">)</span>
      <span style="color:#333333">{</span>
        <span style="color:#a71d5d">return</span> info_<span style="color:#333333">[</span>i<span style="color:#333333">]</span><span style="color:#333333">.</span>dst_<span style="color:#333333">;</span>
      <span style="color:#333333">}</span>
    <span style="color:#333333">}</span>
    <span style="color:#a71d5d">return</span> <span style="color:#a71d5d">nullptr</span><span style="color:#333333">;</span>
  <span style="color:#333333">}</span>
  bp_info info_<span style="color:#333333">[</span><span style="color:#0086b3">4</span><span style="color:#333333">]</span><span style="color:#333333">;</span>
<span style="color:#333333">}</span><span style="color:#333333">;</span>

xx_hw_bp g_hwbp_<span style="color:#333333">;</span><span style="color:#969896">// 全局类，方便异常处理函数访问</span>
</span></span>

先记录一下原函数和hook函数的映射关系，再使用上文硬件断点封装好的xx_set_hw_bp设置硬件断点。

3.3、异常处理函数实现

<span style="background-color:#f5f5f5"><span style="color:#333333">LONG NTAPI <span style="color:#795da3">xx_hw_bp_veh</span><span style="color:#333333">(</span>
  <span style="color:#a71d5d">struct</span> <span style="color:#795da3">_EXCEPTION_POINTERS</span><span style="color:#a71d5d">*</span> ExceptionInfo<span style="color:#333333">)</span>
<span style="color:#333333">{</span>
  <span style="color:#969896">// 获取异常地址</span>
  <span style="color:#a71d5d">void</span><span style="color:#a71d5d">*</span> src <span style="color:#a71d5d">=</span> ExceptionInfo<span style="color:#a71d5d">-></span>ExceptionRecord<span style="color:#a71d5d">-></span>ExceptionAddress<span style="color:#333333">;</span>
  <span style="color:#969896">// 查找对应关系</span>
  <span style="color:#a71d5d">void</span><span style="color:#a71d5d">*</span> dst <span style="color:#a71d5d">=</span> g_hwbp_<span style="color:#333333">.</span><span style="color:#795da3">get_dst</span><span style="color:#333333">(</span>src<span style="color:#333333">)</span><span style="color:#333333">;</span>
  <span style="color:#a71d5d">if</span> <span style="color:#333333">(</span><span style="color:#a71d5d">nullptr</span> <span style="color:#a71d5d">!=</span> dst<span style="color:#333333">)</span> <span style="color:#333333">{</span>
    <span style="color:#969896">// 修改rip 跳转</span>
    <span style="color:#795da3">memcpy</span><span style="color:#333333">(</span><span style="color:#a71d5d">&</span>ExceptionInfo<span style="color:#a71d5d">-></span>ContextRecord<span style="color:#a71d5d">-></span>Rip<span style="color:#333333">,</span> <span style="color:#a71d5d">&</span>dst<span style="color:#333333">,</span> <span style="color:#a71d5d">sizeof</span><span style="color:#333333">(</span><span style="color:#a71d5d">void</span><span style="color:#a71d5d">*</span><span style="color:#333333">)</span><span style="color:#333333">)</span><span style="color:#333333">;</span>
    <span style="color:#a71d5d">return</span> EXCEPTION_CONTINUE_EXECUTION<span style="color:#333333">;</span>
  <span style="color:#333333">}</span>
  <span style="color:#969896">// 其它异常，继续veh链处理</span>
  <span style="color:#a71d5d">return</span> EXCEPTION_CONTINUE_SEARCH<span style="color:#333333">;</span>
<span style="color:#333333">}</span>
</span></span>

先通过异常地址，找到对应的hook函数地址。若找到，则修改Rip（指令寄存器）实现跳转；找不到则不是我们关心的异常，交给VEH链继续处理吧。

4、demo验证

<span style="background-color:#f5f5f5"><span style="color:#333333"><span style="color:#a71d5d">int</span> WINAPI <span style="color:#795da3">My_MessageBoxA</span><span style="color:#333333">(</span>
  _In_opt_ HWND hWnd<span style="color:#333333">,</span>
  _In_opt_ LPCSTR lpText<span style="color:#333333">,</span>
  _In_opt_ LPCSTR lpCaption<span style="color:#333333">,</span>
  _In_ UINT uType<span style="color:#333333">)</span>
<span style="color:#333333">{</span>
  <span style="color:#795da3">printf</span><span style="color:#333333">(</span><span style="color:#183691">"[call %s]!\n"</span><span style="color:#333333">,</span> __FUNCTION__<span style="color:#333333">)</span><span style="color:#333333">;</span>

  <span style="color:#a71d5d">auto</span> ori <span style="color:#a71d5d">=</span> <span style="color:#795da3">xx_trampoline_to_func</span><span style="color:#333333">(</span><span style="color:#a71d5d">&</span>MessageBoxA<span style="color:#333333">,</span> trampoline<span style="color:#333333">)</span><span style="color:#333333">;</span>
  <span style="color:#a71d5d">return</span> <span style="color:#333333">(</span><span style="color:#a71d5d">*</span>ori<span style="color:#333333">)</span><span style="color:#333333">(</span>hWnd<span style="color:#333333">,</span> lpText<span style="color:#333333">,</span> lpCaption<span style="color:#333333">,</span> uType<span style="color:#333333">)</span><span style="color:#333333">;</span>
<span style="color:#333333">}</span>

<span style="color:#a71d5d">void</span> <span style="color:#795da3">test_hook</span><span style="color:#333333">(</span><span style="color:#333333">)</span> <span style="color:#333333">{</span>
  <span style="color:#969896">// 制作跳板，只需要复制1条指令，跳过硬件断点即可</span>
  <span style="color:#795da3">xx_mem_unprotect</span><span style="color:#333333">(</span>trampoline<span style="color:#333333">,</span> <span style="color:#0086b3">1024</span><span style="color:#333333">)</span><span style="color:#333333">;</span>
  <span style="color:#795da3">xx_make_trampoline</span><span style="color:#333333">(</span><span style="color:#a71d5d">&</span>MessageBoxA<span style="color:#333333">,</span> trampoline<span style="color:#333333">,</span> <span style="color:#0086b3">4</span><span style="color:#333333">)</span><span style="color:#333333">;</span>

  <span style="color:#795da3">xx_init_hwbp_hook</span><span style="color:#333333">(</span><span style="color:#333333">)</span><span style="color:#333333">;</span>
  g_hwbp_<span style="color:#333333">.</span><span style="color:#795da3">hook</span><span style="color:#333333">(</span><span style="color:#a71d5d">&</span>MessageBoxA<span style="color:#333333">,</span> <span style="color:#a71d5d">&</span>My_MessageBoxA<span style="color:#333333">,</span><span style="color:#795da3">GetCurrentThread</span><span style="color:#333333">(</span><span style="color:#333333">)</span><span style="color:#333333">,</span> <span style="color:#0086b3">0</span><span style="color:#333333">)</span><span style="color:#333333">;</span>
  <span style="color:#333333">::</span><span style="color:#795da3">MessageBoxA</span><span style="color:#333333">(</span><span style="color:#0086b3">0</span><span style="color:#333333">,</span> <span style="color:#183691">"aaa"</span><span style="color:#333333">,</span> <span style="color:#183691">"bbb"</span><span style="color:#333333">,</span> <span style="color:#0086b3">0</span><span style="color:#333333">)</span><span style="color:#333333">;</span>
<span style="color:#333333">}</span>
</span></span>

使用时先制作跳板，再hook。制作跳板复用inlinehook的代码。由于不修改代码，所以跳板值需要复制一条指令即可。复制的代码少，所以也基本不用考虑重定位问题。

欢迎大家点赞、转发、再看、留言交流~