Detours使用说明

最新推荐文章于 2015-05-06 09:28:00 发布
最新推荐文章于 2015-05-06 09:28:00 发布
阅读量1w 收藏 28
点赞数
分类专栏： windows编程技术 自动化测试 c++ 文章标签： winapi hook socket dll function cmd
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zhsp1029/article/details/4195139
版权

 

Detours使用说明

 

1 介绍... 1

2 Detours API hook. 1

2.1 hook DLL 中的函数... 2

2.2 hook自定义c 函数... 3

2.3 hook类成员函数... 4

2.4 DetourCreateProcessWithDll 5

2.5 Detouring by Address. 5

 

1 介绍

  Api hook包括两部分：api调用的截取和api函数的重定向。通过api hook可以修改函数的参数和返回值。关于原理的详细内容参见《windows核心编程》第19章和第22章。

 

2 Detours API hook

"Detours is a library for intercepting arbitrary Win32 binary functions on x86 machines. Interception code is applied dynamically at runtime. Detours replaces the first few instructions of the target function with an unconditional jump to the user-provided detour function. Instructions from the target function are placed in a trampoline. The address of the trampoline is placed in a target pointer. The detour function can either replace the target function, or extend its semantics by invoking the target function as a subroutine through the target pointer to the trampoline."

在Detours库中，驱动detours执行的是函数 DetourAttach(…).

LONG DetourAttach(

    PVOID * ppPointer,

    PVOID pDetour

    );

这个函数的职责是挂接目标API，函数的第一个参数是一个指向将要被挂接函数地址的函数指针，第二个参数是指向实际运行的函数的指针，一般来说是我们定义的替代函数的地址。但是，在挂接开始之前，还有以下几件事需要完成：

  • 需要对detours进行初始化.
  • 需要更新进行detours的线程.

这些可以调用以下函数很容的做到:

  • DetourTransactionBegin()
  • DetourUpdateThread(GetCurrentThread())

在这两件事做完以后，detour函数才是真正地附着到目标函数上。在此之后，调用DetourTransactionCommit()是detour函数起作用并检查函数的返回值判断是正确还是错误。

2.1 hook DLL 中的函数

在这个例子中，将要hook winsock中的函数 send(…)和recv(…).在这些函数中，我将会在真正调用send或者recv函数前，把真正说要发送或者接收的消息写到一个日志文件中去。注意：我们自定义的替代函式一定要与被hook的函数具有相同的参数和返回值。例如，send函数的定义是这样的：

int send(

  __in  SOCKET s,

  __in  const char *buf,

  __in  int len,

  __in  int flags

);

因此，指向这个函数的指针看起来应该是这样的：

int (WINAPI *pSend)(SOCKET, const char*, int, int) = send;

把函数指针初始化成真正的函数地址是ok的；另外还有一种方式是把函数指针初始化为NULL，然后用函数DetourFindFunction(…) 指向真正的函式地址. 把send(…) 和 recv(…)初始化:

int (WINAPI *pSend)(SOCKET s, const char* buf, int len, int flags) = send;

int WINAPI MySend(SOCKET s, const char* buf, int len, int flags);

int (WINAPI *pRecv)(SOCKET s, char* buf, int len, int flags) = recv;

int WINAPI MyRecv(SOCKET s, char* buf, int len, int flags);

现在，需要hook的函数和重定向到的函数已经定义好了。这里使用 WINAPI 是因为这些函数是用 __stdcall 返回值的导出函数，现在开始hook:

INT APIENTRY DllMain(HMODULE hDLL, DWORD Reason, LPVOID Reserved)

{

    switch(Reason)

    {

        case DLL_PROCESS_ATTACH:

            DisableThreadLibraryCalls(hDLL);

            DetourTransactionBegin();

            DetourUpdateThread(GetCurrentThread());

            DetourAttach(&(PVOID&)pSend, MySend);

            if(DetourTransactionCommit() == NO_ERROR)

                OutputDebugString("send() detoured successfully");

            DetourTransactionBegin();

            DetourUpdateThread(GetCurrentThread());

            DetourAttach(&(PVOID&)pRecv, MyRecv);

            if(DetourTransactionCommit() == NO_ERROR)

                OutputDebugString("recv() detoured successfully");

            break;

            .

            .

            .

它基本上是用上面介绍的步骤开始和结束 —— 初始化，更新detours线程，用DetourAttach(…)开始hook函数，最后调用DetourTransactionCommit() 函数, 当调用成功时返回 NO_ERROR, 失败是返回一些错误码.下面是我们的函数的实现，我发送和接收的信息写入到一个日志文件中:

int WINAPI MySend(SOCKET s, const char* buf, int len, int flags)

{

    fopen_s(&pSendLogFile, "C://SendLog.txt", "a+");

    fprintf(pSendLogFile, "%s/n", buf);

    fclose(pSendLogFile);

    return pSend(s, buf, len, flags);

}

 

int WINAPI MyRecv(SOCKET s, char* buf, int len, int flags)

{

    fopen_s(&pRecvLogFile, "C://RecvLog.txt", "a+");

    fprintf(pRecvLogFile, "%s/n", buf);

    fclose(pRecvLogFile);

    return pRecv(s, buf, len, flags);

}

 

2.2 hook自定义c 函数

   举例来说明，假如有一个函数，其原型为

int RunCmd(const char* cmd);

如果要hook这个函数，可以按照以下几步来做：

a)     include 声明这个函数的头文件

b)     定义指向这个函数的函数指针，int (* RealRunCmd)(const char*) = RunCmd;

c)     定义detour函数，例如: int DetourRunCmd(const char*);

d)     实现detour函数，如:

Int DetourRunCmd(const char* cmd)

{

   //extend the function,add what you want ：）

   Return RealRunCme(cmd);

}

这样就完成了hook RunCmd函数的定义，所需要的就是调用DetourAttack

    DetourTransactionBegin();

     DetourUpdateThread(GetCurrentThread());

     DetourAttach(&(PVOID&)RealRunCmd, DetourRunCmd);

     if(DetourTransactionCommit() == NO_ERROR)

     {

         //error

     }

2.3 hook类成员函数

   Hook类成员函数通过在static函数指针来实现

   还是举例说明，假如有个类定义如下:

class CData

{

public:

    CData(void);

    virtual ~CData(void);

    int Run(const char* cmd);

};

现在需要hook int CData::Run(const char*) 这个函数，可以按照以下几步：

a) 声明用于hook的类

class CDataHook

{

public:

    int DetourRun(const char* cmd);

    static int (CDataHook::* RealRun)(const char* cmd);

};

b) 初始化类中的static函数指针

     int (CDataHook::* CDataHook::RealRun)(const char* cmd) = (int (CDataHook::*)(const char*))&CData::Run;

c) 定义detour函数

   int CDataHook::DetourRun(const char* cmd)

{

    //添加任意你想添加的代码

    int iRet = (this->*RealRun)(cmd);

    return iRet;

}

e)     调用detourAttach函数

    DetourTransactionBegin();

    DetourUpdateThread(GetCurrentThread());

    DetourAttach(&(PVOID&)CDataHook::RealRun, (PVOID)(&(PVOID&)CDataHook::DetourRun));

    if(DetourTransactionCommit() == NO_ERROR)

    {

        //error

    }

 

2.4 DetourCreateProcessWithDll

使用这个函数相当于用CREATE_SUSPENDED 标志调用函数CreateProcess. 新进程的主线程处于暂停状态,因此DLL能在函数被运行钱被注入。注意：被注入的DLL最少要有一个导出函数. 如用testdll.dll注入到notepad.exe中:

#undef UNICODE
#include <cstdio>
#include <windows.h>
#include <detours/detours.h>
 
int main()
{
    STARTUPINFO si;
    PROCESS_INFORMATION pi;
    ZeroMemory(&si, sizeof(STARTUPINFO));
    ZeroMemory(&pi, sizeof(PROCESS_INFORMATION));
    si.cb = sizeof(STARTUPINFO);
    char* DirPath = new char[MAX_PATH];
    char* DLLPath = new char[MAX_PATH]; //testdll.dll
    char* DetourPath = new char[MAX_PATH]; //detoured.dll
    GetCurrentDirectory(MAX_PATH, DirPath);
    sprintf_s(DLLPath, MAX_PATH, "%s//testdll.dll", DirPath);
    sprintf_s(DetourPath, MAX_PATH, "%s//detoured.dll", DirPath);
    DetourCreateProcessWithDll(NULL, "C://windows//notepad.exe", NULL,
        NULL, FALSE, CREATE_DEFAULT_ERROR_MODE, NULL, NULL,
        &si, &pi, DetourPath, DLLPath, NULL);
    delete [] DirPath;
    delete [] DLLPath;
    delete [] DetourPath;
    return 0;
}

2.5 Detouring by Address

假如出现这种情况怎么办？我们需要hook的函数既不是一个标准的WIN32 API，也不是导出函数。这时我们需要吧我们的程序和被所要注入的程序同事编译，或者，把函数的地址硬编码：

#undef UNICODE
#include <cstdio>
#include <windows.h>
#include <detours/detours.h>
 
typedef void (WINAPI *pFunc)(DWORD);
void WINAPI MyFunc(DWORD);
 
pFunc FuncToDetour = (pFunc)(0x0100347C); //Set it at address to detour in
                    //the process
INT APIENTRY DllMain(HMODULE hDLL, DWORD Reason, LPVOID Reserved)
{
    switch(Reason)
    {
    case DLL_PROCESS_ATTACH:
        {
            DisableThreadLibraryCalls(hDLL);
            DetourTransactionBegin();
            DetourUpdateThread(GetCurrentThread());
            DetourAttach(&(PVOID&)FuncToDetour, MyFunc);
            DetourTransactionCommit();
        }
        break;
    case DLL_PROCESS_DETACH:
        DetourTransactionBegin();
        DetourUpdateThread(GetCurrentThread());
        DetourDetach(&(PVOID&)FuncToDetour, MyFunc);
        DetourTransactionCommit();
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
        break;
    }
    return TRUE;
}
 
void WINAPI MyFunc(DWORD someParameter)
{
    //Some magic can happen here
}

 

zhsp1029
关注
  • 0
    点赞
  • 踩
  • 28
    收藏
    觉得还不错? 一键收藏
  • 5
    评论
专栏目录
Detours简介
oneVs1的专栏
10-20 1万+
Detours 是Microsoft开发一个库，下载地址http://research.microsoft.com/en-us/projects/detours/，它具有两方面的功能：1 拦截x86机器上的任意的win32 API函数。2 插入任意的数据段到PE文件中，修改DDL文件的导入表。 Detours库可以拦截任意的API调用，拦截代码是在动态运行时加载的。Detours替
Detours使用说明.doc
05-30
"Detours is a library for intercepting arbitrary Win32 binary functions on x86 machines. Interception code is applied dynamically at runtime. Detours replaces the first few instructions of the target ...
detours3.0文档翻译
热门推荐
buck84的专栏
12-14 1万+
拦截二进制函数         Detours库可以在运行过程中动态拦截函数调用。detours将目标函数钱几个指令替换为一个无条件跳转，跳转到用户定义的detour函数。被拦截的函数保存在trampoline函数中。trampoline保存了目标函数移除的指令和一个无条件跳转，可以跳转到目标函数的执行体部分（未被移除的部分）。         当执行到目标函数的时候，直接跳转到用户提供的de
Detour开发包之API拦截技术(转载)
johns78的专栏
11-02 603
标 题: 微软研究院Detour开发包之API拦截技术作 者: shangzh时 间: 2007-01-29,16:03链 接: http://bbs.pediy.com/showthread.php?t=38759我们截获函数执行最直接的目的就是为函数增添功能，修改返回值，或者为调试以及性能测试加入附加的代码，或者截获函数的输入输出作研究，破解使用。通过访问源代码，我们可以轻而易举的使用重建
Detours简介 (拦截x86机器上的任意的win32 API函数)
jiangxinyu的专栏
10-18 9879
Detours 当然是用detours,微软明显高腾讯一筹,同上,至今没失败过.写这种HOOK一定要再写个测试程序,不要直接HOOK你的目的程序,例如QQ,因为这样不方面更灵活的测试. 说明一下:Detours是微软开发的一个函数库（源代码可在http://research.microsoft.com/sn/detours 免费获得）用于修改运行中的程序在内存中的影像，从而即使没有源代码也能改
Microsoft Detours 源代码_带说明
06-03
微软Detours库是一个强大的工具，它允许程序员在不修改目标代码的情况下拦截和修改其他进程中的函数调用。这个工具在逆向工程、调试、系统监控和插件开发等领域有着广泛的应用。Detours的工作原理主要是通过钩子...
detours4.0_opencvMFC_Detours4_detours_
10-04
标题中的 "detours4.0_opencvMFC_Detours4_detours_" 暗示了这个项目可能与 OpenCV 和 MFC（Microsoft Foundation Classes）框架结合使用。OpenCV 是一个流行的开源计算机视觉库，而 MFC 是微软提供的用于构建 ...
Detours 3.0 HOOK库
11-23
在实际开发中，开发者需要根据提供的源码和说明文档，配置编译环境，编译Detours库，然后将其链接到自己的项目中，以便使用其提供的HOOK功能。 总的来说，Detours 3.0 HOOK库为开发者提供了一种灵活且强大的工具，...
detours 3.0
04-02
4. 示例代码和教程：通过示例来说明如何使用 Detours 实现各种功能，如函数拦截、日志记录等。 5. 工具：例如 `detourbin.exe` 和 `detourc.exe`，用于辅助 Detours 的开发和调试。 使用 Detours 的过程通常包括...
Detour源码
11-13
Detour源码，进入目录中有src文件夹编译. Detour源码，进入目录中有src文件夹编译.
detour 2.1
07-16
Detours是微软开发的一个函数库, 用于修改运行中的程序在内存中的影像，从而即使没有源代码也能改变程序的行为。具体用途是： 拦截WIN32 API调用，将其引导到自己的子程序，从而实现WIN32 API的定制。 为一个已在运行的进程创建一新线程，装入自己的代码并运行。 ---- 本文将简介Detours的原理，Detours库函数的用法， 并利用Detours库函数在Windows NT上编写了一个程序，该程序能使有“调试程序”的用户权限的用户成为系统管理员，附录利用Detours库函数修改该程序使普通用户即可成为系统管理员 （在NT4 SP3上）。 一． Detours的原理 ---- 1． WIN32进程的内存管理 ---- 总所周知，WINDOWS NT实现了虚拟存储器，每一WIN32进程拥有4GB的虚存空间， 关于WIN32进程的虚存结构及其操作的具体细节请参阅WIN32 API手册， 以下仅指出与Detours相关的几点： ---- (1) 进程要执行的指令也放在虚存空间中 ---- (2) 可以使用QueryProtectEx函数把存放指令的页面的权限更改为可读可写可执行，再改写其内容，从而修改正在运行的程序 ---- (3) 可以使用VirtualAllocEx从一个进程为另一正运行的进程分配虚存，再使用 QueryProtectEx函数把页面的权限更改为可读可写可执行，并把要执行的指令以二进制机器码的形式写入，从而为一个正在运行的进程注入任意的代码 ---- 2． 拦截WIN32 API的原理 ---- Detours定义了三个概念： ---- (1) Target函数：要拦截的函数，通常为Windows的API。 ---- (2) Trampoline函数：Target函数的复制品。因为Detours将会改写Target函数，所以先把Target函数复制保存好，一方面仍然保存Target函数的过程调用语义，另一方面便于以后的恢复。 ---- (3) Detour 函数：用来替代Target函数的函数。 ---- Detours在Target函数的开头加入JMP Address_of_ Detour_ Function指令（共5个字节）把对Target函数的调用引导到自己的Detour函数， 把Target函数的开头的5个字节加上JMP Address_of_ Target _ Function+5作为Trampoline函数。例子如下： 拦截前：Target _ Function： ；Target函数入口，以下为假想的常见的子程序入口代码 push ebp mov ebp, esp push eax push ebx Trampoline: ；以下是Target函数的继续部分 …… 拦截后： Target _ Function： jmp Detour_Function Trampoline: ；以下是Target函数的继续部分 …… Trampoline_Function: ; Trampoline函数入口, 开头的5个字节与Target函数相同 push ebp mov ebp, esp push eax push ebx ；跳回去继续执行Target函数 jmp Target_Function+5 ---- 3． 为一个已在运行的进程装入一个DLL ---- 以下是其步骤： ---- (1) 创建一个ThreadFuction，内容仅是调用LoadLibrary。 ---- (2) 用VirtualAllocEx为一个已在运行的进程分配一片虚存，并把权限更改为可读可写可执行。 ---- (3) 把ThreadFuction的二进制机器码写入这片虚存。 ---- (4) 用CreateRemoteThread在该进程上创建一个线程，传入前面分配的虚存的起始地址作为线程函数的地址，即可为一个已在运行的进程装入一个DLL。通过DllMain 即可在一个已在运行的进程中运行自己的代码。 二． Detours库函数的用法 ---- 因为Detours软件包并没有附带帮助文件，以下接口仅从剖析源代码得出。 ---- 1． PBYTE WINAPI DetourFindFunction(PCHAR pszModule, PCHAR pszFunction) ---- 功能：从一DLL中找出一函数的入口地址 ---- 参数：pszModule是DLL名，pszFunction是函数名。 ---- 返回：名为pszModule的DLL的名为pszFunction的函数的入口地址 ---- 说明：DetourFindFunctio
HOOK原理详解
10-26
对大多数的Windows开发者来说，如何在Win32系统中对API函数的调用进行拦截一直是项极富挑战性的课题，因为这将是对你所掌握的计算机知识较为全面的考验，尤其是一些在如今使用RAD进行软件开发时并不常用的知识，这包括了操作系统原理、汇编语言甚至是机器指令（听上去真是有点恐怖，不过这是事实）。 当前广泛使用的Windows操作系统中，像Win 9x和Win NT/2K，都提供了一种比较稳健的机制来使得各个进程的内存地址空间之间是相互独立，也就是说一个进程中的某个有效的内存地址对另一个进程来说是无意义的，这种内存保护措施大大增加了系统的稳定性。不过，这也使得进行系统级的API拦截的工作的难度也大大加大了。 当然，我这里所指的是比较文雅的拦截方式，通过修改可执行文件在内存中的映像中有关代码，实现对API调用的动态拦截；而不是采用比较暴力的方式，直接对可执行文件的磁盘存储中机器代码进行改写。
微软开发Detours函数库(好东西啊)
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
06-30 1284
Detours是微软开发的一个函数库, 用于修改运行中的程序在内存中的影像，从而即使没有源代码也能改变程序的行为。具体用途是：  拦截WIN32 API调用，将其引导到自己的子程序，从而实现WIN32 API的定制。  为一个已在运行的进程创建一新线程，装入自己的代码并运行。  ---- 本文将简介Detours的原理，Detours库函数的用法， 并利用Detours库函数在Windo
Detour使用说明
hewei0241的专栏
08-05 1305
2.2 hook自定义c 函数    举例来说明，假如有一个函数，其原型为 int RunCmd(const char* cmd); 如果要hook这个函数，可以按照以下几步来做： a)     include 声明这个函数的头文件 b)     定义指向这个函数的函数指针，int (* RealRunCmd)(const char*) = RunCmd;
关于Detours的完整翻译
monkisgod的专栏
06-18 927
      关键词：detours、hook技术     最近发现研究Detours技术的人多了起来，为了方便大家交流，打算在最近把东西完整的翻译一下。先列在我的blog上，以防忘记。  没有源代码也能更改应用程序的功能 很多时候我们需要帮助客户改变应用程序跟操作系统或其它SDK的交互方式。这种任务通常需要涉及到源代码。很多情况下虽然是自己的程序，但或许也有一部分的
运用Detours库hook API
zbc_vc的专栏
12-07 1076
一、Detours库的来历及下载： Detours库类似于WTL的来历，是由GalenHunt and Doug Brubacher自己开发出来，于99年7月发表在一篇名为《Detours: Binary Interception of Win32 Functions.》的论文中。基本原理是改写函数的头5个字节（因为一般函数开头都是保存堆栈环境的三条指令共5个字节：8B FF 55 8B EC）
DetourFunction \DetourRemove 和DetourAttach \DetourDetach
weixin_34406061的博客
05-06 175
因为才接触Detours Hook，所以按照网上的去官网下了一个DetoursExpress30.msi 下载的地方也只有这一个可供下载。 (后来查资料才知道还有一个收费版的detour professional 3.0，听说蛮贵的，去官网也没有找到) http://download.csdn.net/download/staver102/7648875这个是别人自己改写的专业版的 ，...
detours 1.5
最新发布
12-01
Detours 1.5 是一款由微软研究院开发的软件包，用于在Windows操作系统上进行应用程序的二进制代码修改和勾取。Detours 1.5 提供了一些API和工具，允许开发者在不修改源代码的情况下，实现对已编译的应用程序的功能拦截、修改或重定向。 例如，Detours 1.5 可以用于实施函数钩子，即在应用程序的函数调用前后插入自定义的代码。这样，开发者可以在函数被调用时执行一些额外的操作，比如记录日志、修改参数或返回值等。通过使用Detours 1.5，开发者可以轻松地将这些功能集成到目标应用程序中，而无需修改其原始代码。 Detours 1.5 还提供了一些其他的功能，如API重定向、虚函数重定向和模块捕获等。这些功能使开发者能够在运行时修改和控制应用程序的行为，从而实现一些特定的需求。 总之，Detours 1.5 是一款功能强大的二进制代码修改和勾取工具包，为开发者提供了一种灵活且非侵入性的方式，对已编译的应用程序进行功能的拦截、修改和重定向。它在应用程序的调试、测试、分析等方面具有广泛的应用价值。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值