在已有软件加壳保护下实现 Inline hook

如写的不好请见谅，本人水平有限。

个人简历及水平：。 http://www.cnblogs.com/hackdragon/p/3662599.html

正常情况：

接到一个项目实现对屏幕输出内容的获取，于是OD载入，发现是XX加壳保护，正常情况写代码采用jmp跳转到自己的代码处采用前人使用的CHookApi_Jmp类源码在http://www.cnblogs.com/showna/articles/850279.html。（我自己用的时候把CHookApi_Jmp修改成了CHookApi）当然我是截取目标程序的绘制函数TextOutA,所以代码如下：

// 原函数声明

//__gdi_entry WINGDIAPI BOOL  WINAPI TextOutA( __in HDC hdc, __in int x, __in int y, __in_ecount(c) LPCSTR lpString, __in int c);

//全局初始化类

CHookApi  m_HookTextOutA;

//自己的函数

BOOL  WINAPI FuncJMP_TextOutA(HDC hdc, int x, int y,LPCSTR lpString, int c)

{

    m_HookTextOutA.SetHookOff();//关闭HOOK  实现自己调用原来的WINAPI

    {

        //做你想做的事情

    }

    int Func_Ret = TextOutA(hdc,x,y,lpString,c);

    m_HookTextOutA.SetHookOn();//开启HOOK   实现拦截下一次函数

    return Func_Ret;

}

//适当的位置初始化

void Func_Init()//

{

    m_HookTextOutA.Initialize(_T("Gdi32.dll"),"TextOutA",(FARPROC)Hook_FuncTextOutA);

    m_HookTextOutA.SetHookOn();

}

正常情况下已经完成了Inline hook,但是由于软件加壳保护了TextOutA函数的前5个字节，我们的jmp转移大法不行了，你修改完他就给你修改回去，造成程序异常。

寻找办法：

于是OD往下跟踪，发现他继续调用的其他DLL也是软件保护下的，只有动态链接才不保护，本人比较懒不爱继续跟踪了，于是想了一下，他是保护前几个字节，他不能全部保护，于是往下看了看汇编代码（win7的GDI32.dll）。

看到这里调用了下一个函数，那么他这里E8(CALL)后面也是4个字节，于是乎马上我想到自己也可以篡改他的这个地址到咱自己的函数中，鬼使神差的我看了下X版本的GDI32的代码

发现一个问题他们在TextOutA函数头处到E8的位置并不一样。具体来说

WIN7的 089D-0878 = 0x25(偏移)

XP的 BA7C-BA4F = 0x2D (偏移)

2个的偏移量明显不一样了，这怎么办呢，如果在有其他版本的GDI32是不是也不一样呢。于是想到如下解决办法。

解决问题：

我们要实现inline hook 首先要知道我们要修改的内存地址，其次要知道原来的函数地址。下面这个函数来获取我们的地址。

DWORD GetGDI32_TextOutAEx(DWORD &dwHook,DWORD &dwCall)

{

    //取得TextOutA函数地址 也可以直接TextOutA

    DWORD dwGDI32TextOutA = (DWORD)GetProcAddress(GetModuleHandle(_T("Gdi32.dll")),"TextOutA");

    //转换下

    BYTE *lpBuf = (BYTE *)dwGDI32TextOutA;

    //每字节对比

    for(int i=;i<0x30;i++)

    {

        DWORD dwAddress = (DWORD)(&lpBuf[i]);    //字节地址

        DWORD dwFind = *(DWORD*)(dwAddress);    //转换获取内容

        //为什么是0xE80875FF 这个可以在OD上看下内存内容

        //由于这个函数的前一部分都是 push dword ptr ss:[ebp+0x8]  紧跟这就是CALL

        //那么对应的内存二进制就是 0xE80875FF 了

        if(dwFind==0xE80875FF)

        {

            //当前地址+3那就是E8了

            dwHook = dwAddress+;

            //由于“CALL到哪里”的计算方式是计算2个地址的差

            //所以我们要取CALL 后面的 4个字节的内容

            //当前地址+4那就是E8后面的了

            DWORD dwNow = dwAddress+;

            //读出来这个值

            DWORD dwOff = *(DWORD*)(dwNow);

            //和当前的地址相加+(这个自己想一下吧为什么是+)

            //在+4是因为本身占用4个字节

            dwCall = dwNow+dwOff+;

            //得出这个CALL实际的内存地址了。

            return ;

        }

    }

    return ;

}

给我们的CHookApi增加一个函数。

BOOL CHookApi::InitializeE8(FARPROC lpOldFunc, FARPROC lpNewFunc)

{

    m_lpHookFunc = lpOldFunc;

    hProc = GetCurrentProcess();

    DWORD dwOldFlag;

    if(VirtualProtectEx(hProc,m_lpHookFunc,,PAGE_READWRITE,&dwOldFlag))

    {

        memcpy_s(m_OldFunc,,m_lpHookFunc,);

        //if(ReadProcessMemory(hProc,m_lpHookFunc,m_OldFunc,5,0))

        {

            if(VirtualProtectEx(hProc,m_lpHookFunc,,dwOldFlag,&dwOldFlag))

            {

                m_NewFunc[]=0xE8;

                DWORD *pNewFuncAddress;

                pNewFuncAddress=(DWORD*)&m_NewFunc[];

                *pNewFuncAddress=(DWORD)lpNewFunc-(DWORD)m_lpHookFunc-;

                return TRUE;

            }

        }

    }

    return FALSE;

}

他原来是E9(JMP)那么我们要实现自己的CALL 那么我们用E8 其实我只是偷懒而已。因为原来就是E8 我们只要写入自己的函数的偏移就行了。

实现过程：

//全局初始化类

CHookApi  m_HookTextOutAEx;

//要挂钩的地址

DWORD dwHook;

//原来的CALL的地址

DWORD dwCall;

//自己的函数

int WINAPI FuncJMP_TextOutEx(HDC hdc, int x, int y,int A,int B,LPCSTR lpString, int c,int C,int D)

{

    //处理函数形式

    typedef int (__stdcall *MyTextOut )(HDC hdc, int x, int y,int A,int B,LPCSTR lpString, int c,int C,int D);

    //函数指针

    MyTextOut TextOutStr = (MyTextOut)dwCall;

    //调用

    int Ret = TextOutStr(hdc,x,y,A,B,lpString,c,C,D);

    //取得返回的地址

    DWORD *Ptr = (DWORD *)&D;

    if(Ptr[]==0x12345678)//这里你可以加入以提升性能，根据返回的地址来判断是不是你要拦截的输出内容

    {

        //做你想做的事情

    }

    return Ret;

}

//适当的位置初始化

void Func_Init2()//

{

    GetGDI32_TextOutAEx(dwHook,dwCall);

    m_HookTextOutAEx.InitializeE8((FARPROC)dwHook,(FARPROC)FuncJMP_TextOutEx);

    m_HookTextOutAEx.SetHookOn();

}

函数参数的判断可以根据push情况自己来处理下，我随便处理下了。不知道多的几个参数干什么用的。

最后总结：

对于有保护的软件，如果不脱壳处理，那么可以曲线实现自己的目的。对于其他有内存校验的软件，则可根据它对应的调用其他未保护的API进行代码插入。算是写完了，也算是我cnblog的第二篇技术类文章吧。写的不对的地方欢迎指正啊。本人QQ：78486367