在已有软件加壳保护 下实现 Inline hook

如写的不好请见谅，本人水平有限。

个人简历及水平：。 http://www.cnblogs.com/hackdragon/p/3662599.html

正常情况：

接到一个项目实现对屏幕输出内容的获取，于是OD载入，发现是XX加壳保护，正常情况写代码采用jmp跳转到自己的代码处 采用前人使用的CHookApi_Jmp类 源码在http://www.cnblogs.com/showna/articles/850279.html。（我自己用的时候把CHookApi_Jmp修改成了CHookApi）当然我是截取目标程序的绘制函数TextOutA,所以代码如下：

// 原函数声明
//__gdi_entry WINGDIAPI BOOL  WINAPI TextOutA( __in HDC hdc, __in int x, __in int y, __in_ecount(c) LPCSTR lpString, __in int c);
//全局初始化类
CHookApi  m_HookTextOutA;
//自己的函数
BOOL  WINAPI FuncJMP_TextOutA(HDC hdc, int x, int y,LPCSTR lpString, int c)
{
    m_HookTextOutA.SetHookOff();//关闭HOOK  实现自己调用原来的WINAPI
    {
        //做你想做的事情
    }
    int Func_Ret = TextOutA(hdc,x,y,lpString,c);
    m_HookTextOutA.SetHookOn();//开启HOOK   实现拦截下一次函数
    return Func_Ret;
}
//适当的位置初始化
void Func_Init()//
{
    m_HookTextOutA.Initialize(_T("Gdi32.dll"),"TextOutA",(FARPROC)Hook_FuncTextOutA);
    m_HookTextOutA.SetHookOn();
}

正常情况下已经完成了Inline hook,但是由于软件加壳保护了TextOutA函数的前5个字节，我们的jmp转移大法不行了，你修改完 他就给你修改回去，造成程序异常。

寻找办法：

于是OD往下跟踪，发现他继续调用的其他DLL也是软件保护下的，只有动态链接才不保护，本人比较懒不爱继续跟踪了，于是想了一下，他是保护前几个字节，他不能全部保护，于是往下看了看汇编代码（win7的GDI32.dll）。

看到这里调用了下一个函数，那么他这里E8(CALL)后面也是4个字节，于是乎马上我想到自己也可以篡改他的这个地址到咱自己的函数中，鬼使神差的我看了下X版本的GDI32的代码

发现一个问题 他们在TextOutA函数头处到E8的位置并不一样。具体来说

WIN7的 089D-0878 = 0x25(偏移)

XP的      BA7C-BA4F = 0x2D (偏移)

2个的偏移量明显不一样了，这怎么办呢，如果在有其他版本的GDI32是不是也不一样呢。于是想到如下解决办法。

解决问题：

我们要实现inline hook 首先要知道我们要修改的内存地址，其次要知道原来的函数地址。下面这个函数来获取我们的地址。

DWORD GetGDI32_TextOutAEx(DWORD &dwHook,DWORD &dwCall)
{
    //取得TextOutA函数地址 也可以直接TextOutA
    DWORD dwGDI32TextOutA = (DWORD)GetProcAddress(GetModuleHandle(_T("Gdi32.dll")),"TextOutA");
    //转换下
    BYTE *lpBuf = (BYTE *)dwGDI32TextOutA;
    //每字节对比
    for(int i=;i<0x30;i++)
    {
        DWORD dwAddress = (DWORD)(&lpBuf[i]);    //字节地址
        DWORD dwFind = *(DWORD*)(dwAddress);    //转换获取内容
        //为什么是0xE80875FF 这个可以在OD上看下内存内容
        //由于这个函数的前一部分都是 push dword ptr ss:[ebp+0x8]  紧跟这就是CALL
        //那么对应的内存二进制就是 0xE80875FF 了
        if(dwFind==0xE80875FF)
        {
            //当前地址+3那就是E8了
            dwHook = dwAddress+;
            //由于“CALL到哪里”的计算方式是计算2个地址的差
            //所以我们要取CALL 后面的 4个字节的内容
            //当前地址+4那就是E8后面的了
            DWORD dwNow = dwAddress+;
            //读出来这个值
            DWORD dwOff = *(DWORD*)(dwNow);
            //和当前的地址相加+(这个自己想一下吧为什么是+)
            //在+4是因为本身占用4个字节
            dwCall = dwNow+dwOff+;
            //得出这个CALL实际的内存地址了。
            return ;
        }
    }
    return ;
}

给我们的CHookApi增加一个函数。

BOOL CHookApi::InitializeE8(FARPROC lpOldFunc, FARPROC lpNewFunc)
{
    m_lpHookFunc = lpOldFunc;
    hProc = GetCurrentProcess();
    DWORD dwOldFlag;
    if(VirtualProtectEx(hProc,m_lpHookFunc,,PAGE_READWRITE,&dwOldFlag))
    {
        memcpy_s(m_OldFunc,,m_lpHookFunc,);
        //if(ReadProcessMemory(hProc,m_lpHookFunc,m_OldFunc,5,0))
        {
            if(VirtualProtectEx(hProc,m_lpHookFunc,,dwOldFlag,&dwOldFlag))
            {
                m_NewFunc[]=0xE8;
                DWORD *pNewFuncAddress;
                pNewFuncAddress=(DWORD*)&m_NewFunc[];
                *pNewFuncAddress=(DWORD)lpNewFunc-(DWORD)m_lpHookFunc-;
                return TRUE;
            }
        }
    }
    return FALSE;
}

他原来是E9(JMP)那么我们要实现自己的CALL 那么我们用E8 其实我只是偷懒而已。因为原来就是E8 我们只要写入自己的函数的偏移就行了。

实现过程：

//全局初始化类
CHookApi  m_HookTextOutAEx;
//要挂钩的地址
DWORD dwHook;
//原来的CALL的地址
DWORD dwCall;
//自己的函数
int WINAPI FuncJMP_TextOutEx(HDC hdc, int x, int y,int A,int B,LPCSTR lpString, int c,int C,int D)
{
    //处理函数形式
    typedef int (__stdcall *MyTextOut )(HDC hdc, int x, int y,int A,int B,LPCSTR lpString, int c,int C,int D);
    //函数指针
    MyTextOut TextOutStr = (MyTextOut)dwCall;
    //调用
    int Ret = TextOutStr(hdc,x,y,A,B,lpString,c,C,D);
    //取得返回的地址
    DWORD *Ptr = (DWORD *)&D;
    if(Ptr[]==0x12345678)//这里你可以加入以提升性能，根据返回的地址来判断是不是你要拦截的输出内容
    {
        //做你想做的事情
    }
    return Ret;
}
//适当的位置初始化
void Func_Init2()//
{
    GetGDI32_TextOutAEx(dwHook,dwCall);
    m_HookTextOutAEx.InitializeE8((FARPROC)dwHook,(FARPROC)FuncJMP_TextOutEx);
    m_HookTextOutAEx.SetHookOn();
}

函数参数的判断可以根据push情况自己来处理下，我随便处理下了。不知道多的几个参数干什么用的。

最后总结：

对于有保护的软件，如果不脱壳处理，那么可以曲线实现自己的目的。对于其他有内存校验的软件，则可根据它对应的调用其他未保护的API进行代码插入。算是写完了，也算是我cnblog的第二篇技术类文章吧。写的不对的地方欢迎指正啊。本人QQ：78486367