API HOOK库

API HOOK库

API HOOK有两种做法，一种是SetWindowHookEx，简单易用，但如果做其它的HOOK，如HOOK OpenProcess，就需要修改内存地址了，内存地址可以通过WriteProcessMemory来修改，先将调用函数的地址改成自己的（jmp到自己的函数），然后需要时，再改回来。

 
#pragma once
#ifdef _M_IX86
template <typename T>
class Hooker
{
protected:
    static DWORD HookFunction(LPCWSTR lpModule, LPCSTR lpFuncName, PROC lpFunction)
    {
        DWORD dwAddr = (DWORD) GetProcAddress(GetModuleHandle(lpModule), lpFuncName);
        BYTE jmp [] =
        {
            0xe9,    //jmp
            0x00, 0x00, 0x00, 0x00,    //address
            0xc3    //retn
        };
        ReadProcessMemory(GetCurrentProcess(), (LPVOID) dwAddr, MemoryAddress(), 6, 0);
        DWORD dwCalc = ((DWORD) lpFunction - dwAddr - 5);    //((to)-(from)-5)
        memcpy(&jmp[1], &dwCalc, 4);    //build the jmp
        WriteProcessMemory(GetCurrentProcess(), (LPVOID) dwAddr, jmp, 6, 0);
        return dwAddr;
    }
    static BOOL UnHookFunction(LPCWSTR lpModule, LPCSTR lpFuncName)
    {
        DWORD dwAddr = (DWORD) GetProcAddress(GetModuleHandle(lpModule), lpFuncName);
        if (WriteProcessMemory(GetCurrentProcess(), (LPVOID) dwAddr, MemoryAddress(), 6, 0))
            return TRUE;
        return FALSE;
    }
    static BYTE* MemoryAddress()
    {
        static BYTE backup[6];
        return backup;
    }
};
#elif _M_AMD64
template <typename T>
class Hooker
{
protected:
    static UINT64 HookFunction(LPCWSTR lpModule, LPCSTR lpFuncName, LPVOID lpFunction)
    {
        UINT64 dwAddr = (UINT64) GetProcAddress(GetModuleHandle(lpModule), lpFuncName);
        BYTE jmp [] =
        {
            0x48, 0xb8,    //jmp
            0x00, 0x00, 0x00, 0x00,
            0x00, 0x00, 0x00, 0x00, //address
            0x50, 0xc3  //retn
        };
        ReadProcessMemory(GetCurrentProcess(), (LPVOID) dwAddr, MemoryAddress(), 12, 0);
        UINT64 dwCalc = (UINT64) lpFunction;
        memcpy(&jmp[2], &dwCalc, 8);    //build the jmp
        WriteProcessMemory(GetCurrentProcess(), (LPVOID) dwAddr, jmp, 12, nullptr);
        return dwAddr;
    }
    static BOOL UnHookFunction(LPCWSTR lpModule, LPCSTR lpFuncName)
    {
        UINT64 dwAddr = (UINT64) GetProcAddress(GetModuleHandle(lpModule), lpFuncName);
        if (WriteProcessMemory(GetCurrentProcess(), (LPVOID) dwAddr, MemoryAddress(), 12, 0))
            return TRUE;
        return FALSE;
    }
    static BYTE* MemoryAddress()
    {
        static BYTE backup[12];
        return backup;
    }
};
#endif

值得注意的是，64位和32位的注入字节有些许不同。

由于目前Visual Studio 2013 Preview实现的C++类中，还是不允许有非int静态变量，但却允许函数中有静态变量，所以我将目标指针数据备份到静态成员中：

    static BYTE* MemoryAddress()
    {
        static BYTE backup[6];
        return backup;
    }

然后，在使用时，从Hooker继承一个类即可：

class MessageBoxHooker : Hooker<MessageBoxHooker>
{
public:
static void BeginHook()
{
HookFunction(L"user32.dll", "MessageBoxW", (PROC) MyMessageBoxW);
}
static void StopHook()
{
UnHookFunction(L"user32.dll", "MessageBoxW");
}
private:
static int WINAPI MyMessageBoxW(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType)
{
StopHook();
int x = MessageBox(hWnd, L"hooked", lpCaption, uType);
BeginHook();
return x;
}
};

要开启Hook，只需调用：

MessageBoxHooker::BeginHook();

这个API HOOK库我使了一个模板，之所以用模板是因为C++函数指针不包含实例的指针。这种使用模板来解决C++指针的缺点的做法很常见，ATL也是这样实现的。

本文提供的代码可以随意引用，但请充分测试后再部署，出问题本人不承担任何责任，欢迎有任何建议和补充~

 

 

分类: C++学习笔记

标签: C++, HOOK, Windows API, C++ 11, Visual Studio