学习windows 应用层 inline hook 原理总结
2014-05-20 13:45
423 查看
学习windows 应用层 inline hook 原理总结
inline hook 实际上就是指 通过改变目标函数头部的代码来使改变后的代码跳转到我们自己设置的一个函数里,产生hook。今天就拿MessageBoxA这个api函数来做实验。功能就是当程序调用MessageBoxA 时,我们打印出MessageBoxA的参数
大概代码结构应该是这样
typedef int (WINAPI *MessageBox_type) ( __in_opt HWND hWnd, __in_opt LPCSTR lpText, __in_opt LPCSTR lpCaption, __in UINT uType) ; MessageBox_type RealMessageBox; //我们自己的MessageBox,每调用MessageBox都要跳到myMessageBox来处理 int WINAPI myMessageBox( __in_opt HWND hWnd, __in_opt LPCSTR lpText, __in_opt LPCSTR lpCaption, __in UINT uType) { //下面打印MessageBox参数 printf("hwnd:%8X lpText:%s lpCaption:%s,uType:%8X",hWnd,lpText,lpCaption,uType); return RealMessageBox(hWnd,lpText,lpCaption,uType); //现在开始调用真正的MessageBox } VOID HookMessageBoxA() { } int _tmain(int argc, _TCHAR* argv[]) { HookMessageBoxA(); //hook操作 ::MessageBoxA(NULL,"hook test","tip",MB_OK); //执行api MessageBox return 0; }
我们先看看汇编是怎样调用MessageBoxA的
首先看到,MessageBoxA里面
mov edi,edi
mov ebp
mov ebp,esp
刚好是5个字节,5个字节可以做一个远jmp
直接汇编改成我们自己的jmp
改后结果如下
单步执行发现hook成功。但程序崩溃。原因主要是由于
我们破坏了真正的MessageBox使们想要调用真正的MessageBox时也会调用失败了,所以我们要调用真正的MessageBox时要加上头部被我们换掉的部分,我们要内联汇编,里面不能含有编译器自动添加的代码,所以在myMessageBox头部要加上 _declspec(naked)
vs2010的debug版本每执行一个函数都要 cmp esi,esp 来验证堆栈的。所以还要加一句push esi 和pop esi
//我们自己的MessageBox,每调用MessageBox都要跳到myMessageBox来处理 _declspec(naked) void WINAPI myMessageBox( __in_opt HWND hWnd, __in_opt LPCSTR lpText, __in_opt LPCSTR lpCaption, __in UINT uType) { __asm { PUSH ebp mov ebp,esp /* vs2010 debug 编译后的代码由于要cmp esi esp来比较堆栈。 所以这里在调用非__asm函数前push一下esi */ push esi } //下面打印MessageBox参数 printf("hwnd:%8X lpText:%s lpCaption:%s,uType:%8X",hWnd,lpText,lpCaption,uType); __asm { /* vs2010 debug 编译后的代码由于要cmp esi esp来比较堆栈。 所以这里在调用非__asm函数前push一下esi */ pop esi mov ebx,RealMessageBox add ebx,5 jmp ebx } }
下面说一下用代码来写MessageBoxA着呢5个字节
首先要懂得 JMP指令转换公式推导 不懂的话 看 /article/5059839.html
先声明一个JMP结构体。注意前面加 #pragma pack(1)来避免内存对齐的一些规则
#pragma pack(1) typedef struct _JMPCODE { BYTE jmp; DWORD addr; }JMPCODE,*PJMPCODE;
接下来写hook函数
VOID HookMessageBoxA() { JMPCODE jcode; jcode.jmp = 0xe9;//jmp jcode.addr = (DWORD)myMessageBox - (DWORD)RealMessageBox - 5; RealMessageBox = MessageBoxA; ::WriteProcessMemory(GetCurrentProcess(),MessageBoxA,&jcode,sizeof(JMPCODE),NULL); }
现在测试成功。
完整源代码如下:
// hook_blog_writer.cpp : 定义控制台应用程序的入口点。
//
#include "stdafx.h"
#include <windows.h>
#include <stdio.h>
typedef int (WINAPI
*MessageBox_type) (
__in_opt HWND hWnd,
__in_opt LPCSTR lpText,
__in_opt LPCSTR lpCaption,
__in UINT uType) ;
MessageBox_type RealMessageBox = MessageBoxA;
//我们自己的MessageBox,每调用MessageBox都要跳到myMessageBox来处理 _declspec(naked) void WINAPI myMessageBox( __in_opt HWND hWnd, __in_opt LPCSTR lpText, __in_opt LPCSTR lpCaption, __in UINT uType) { __asm { PUSH ebp mov ebp,esp /* vs2010 debug 编译后的代码由于要cmp esi esp来比较堆栈。 所以这里在调用非__asm函数前push一下esi */ push esi } //下面打印MessageBox参数 printf("hwnd:%8X lpText:%s lpCaption:%s,uType:%8X",hWnd,lpText,lpCaption,uType); __asm { /* vs2010 debug 编译后的代码由于要cmp esi esp来比较堆栈。 所以这里在调用非__asm函数前push一下esi */ pop esi mov ebx,RealMessageBox add ebx,5 jmp ebx } }
#pragma pack(1) typedef struct _JMPCODE { BYTE jmp; DWORD addr; }JMPCODE,*PJMPCODE;
VOID HookMessageBoxA() { JMPCODE jcode; jcode.jmp = 0xe9;//jmp jcode.addr = (DWORD)myMessageBox - (DWORD)RealMessageBox - 5; RealMessageBox = MessageBoxA; ::WriteProcessMemory(GetCurrentProcess(),MessageBoxA,&jcode,sizeof(JMPCODE),NULL); }
int _tmain(int argc, _TCHAR* argv[])
{
HookMessageBoxA(); //hook操作
::MessageBoxA(NULL,"hook test","tip",MB_OK); //执行api MessageBox
return 0;
}
相关文章推荐
- 学习windows 应用层 inline hook 原理总结
- 学习windows 应用层 inline hook 原理总结
- 学习windows 应用层 inline hook 原理总结
- 学习windows 应用层 inline hook 原理总结
- Hook :Inline Hook学习资料以及总结问题
- API hook 原理与Windows hook 应用
- 区块链原理设计与应用学习笔记第一章到第四章总结
- API hook 原理与Windows hook 应用
- 在windows下,git webhook使用php拉取代码的学习总结
- API hook 原理与Windows hook 应用
- C++实现inline hook的原理及应用实例
- linux学习使用总结-linux系统的安装和与windows双系统共享,linux常用的基本命令,今天贴在这里和大家分享
- Symbian OS on E65应用开发手记(3)——SDK注册及14天学习总结
- Windows的HOOK机制的学习笔记
- 一步步学破解-windows消息循环原理实例总结(二)
- 多媒体技术原理与应用考试总结
- 应用层InLine Hook
- 学习使用BOOST库总结(应用环境 Windows XP + VC6.0)
- 《COM 原理与应用》学习笔记
- Java中的String、StringBuffer和Math类--学习java语言及其网络应用总结