CApiHook__Api钩子类

见过网上有很多ApiHook的类,但是都不尽入人意,要么就是写的不够好不够完善,要么就是跑不起来.

用别人写的代码总是有种不安心,所以自己就花了一晚上写了CApiHook类.已经尽量确保自己写的类是非常完善的.

//20151208稍微改变了一下ApiHook的逻辑,重写GetApiHookStatus函数并重命名为GetProcHookStatus,

　　并且很认真负责的测试了WinXP x86/Win7 x86/Win7 x64/Win8.1 x64系统下的GetProcHookStatus有效性.

//20150728稍微改进了一下ApiHook的稳定性,和增加了一个检测系统Api Hook状态的函数GetApiHookStatus

//编写和测试环境: Microsoft Visual Studio 2015 Enterprise RC / Microsoft Windows 7 Ultimate x86

 //    CApiHook, Last Code By gwsbhqt@163.com At 20151208

 #pragma once

 #ifndef __CAPIHOOK_H__
 #define __CAPIHOOK_H__

 #include <cstdio>
 #include <windows.h>

 using namespace std;

 class CApiHook
 {
 private:
     BOOL bStatus;        //    当前钩子状态
     BOOL bSuspend;        //    当前钩子暂停状态
     HMODULE hModule;    //    目标函数所在的动态链接库的句柄
     LPVOID lpProc;        //    目标函数地址
     LPVOID lpBaseAddr;    //    目标函数基地址
     LPVOID lpNewProc;    //    新函数地址
     BYTE bRawData[];    //    目标函数原数据
     BYTE bJMPStmt[];    //    JMP指令语句

     BOOL WriteData(LPCVOID lpBuffer);    //    将缓冲区内容写入目标函数地址

 public:
     CApiHook();
     ~CApiHook();

     BOOL Install(LPCSTR szModuleName, LPCSTR szProcName, FARPROC pNewProc);    //    初始化钩子
     BOOL Suspend();    //    暂停钩子
     BOOL Resume();    //    恢复钩子
     BOOL Uninstall();    //    卸载钩子

     BOOL GetHookStatus();
 };

 BOOL GetProcHookStatus(LPCSTR lpModuleName, LPCSTR lpProcName);    //    获取目标函数的钩子状态

 #endif    //    __CAPIHOOK_H__

CApiHook.h

 //    CApiHook, Last Code By gwsbhqt@163.com At 20151208

 #include "CApiHook.h"

 CApiHook::CApiHook()
 {
     memset(this, , sizeof(CApiHook));
 }

 CApiHook::~CApiHook()
 {
     if (bStatus)
         Uninstall();
 }

 //    将缓冲区内容写入目标函数地址
 BOOL CApiHook::WriteData(LPCVOID lpBuffer)
 {
     //    更改目标函数基地址的保护状态为可读写
     DWORD dwOldProtect;
     if (!VirtualProtectEx(GetCurrentProcess(), lpBaseAddr, , PAGE_READWRITE, &dwOldProtect))
         return FALSE;

     //    将缓冲区内容写入目标函数地址
     if (!WriteProcessMemory(GetCurrentProcess(), lpProc, lpBuffer, , NULL))
         return FALSE;

     //    恢复目标函数基地址的保护状态
     if (!VirtualProtectEx(GetCurrentProcess(), lpBaseAddr, , dwOldProtect, &dwOldProtect))
         return FALSE;

     return TRUE;
 }

 //    初始化钩子
 BOOL CApiHook::Install(LPCSTR szModuleName, LPCSTR szProcName, FARPROC fpNewProc)
 {
     if (bStatus)
         return FALSE;

     //    获取目标函数所在的动态链接库的句柄
     hModule = GetModuleHandleA(szModuleName);
     if (NULL == hModule)
         hModule = LoadLibraryA(szModuleName);
     if (NULL == hModule)
         return FALSE;

     lpNewProc = (LPVOID)fpNewProc;    //    获取新函数地址
     lpProc = (LPVOID)GetProcAddress(hModule, szProcName);    //    获取目标函数地址
     if (NULL == lpNewProc || NULL == lpProc)
         return FALSE;

     //    获取并保存目标函数地址的原数据
     RtlMoveMemory(bRawData, lpProc, );

     //    构造JMP指令语句
     bJMPStmt[] = 0xE9;    //    JMP指令
     *((PDWORD)(&(bJMPStmt[]))) = (DWORD)lpNewProc - (DWORD)lpProc - ;

     //    获取目标函数基地址
     MEMORY_BASIC_INFORMATION mbi = {};
     if (sizeof(mbi) != VirtualQueryEx(GetCurrentProcess(), lpProc, &mbi, sizeof(mbi)))
         return FALSE;
     lpBaseAddr = mbi.BaseAddress;

     //    将JMP指令语句写入目标函数地址
     if (!WriteData(bJMPStmt))
         return FALSE;

     bStatus = TRUE;

     return TRUE;
 }

 //    暂停钩子
 BOOL CApiHook::Suspend()
 {
     if (!bStatus || bSuspend)
         return FALSE;

     //    将目标函数原数据写入目标函数地址
     BOOL ret = WriteData(bRawData);
     if (!ret)
         return FALSE;

     bSuspend = TRUE;

     return TRUE;
 }

 //    恢复钩子
 BOOL CApiHook::Resume()
 {
     if (!bStatus || !bSuspend)
         return FALSE;

     //    将JMP指令语句写入目标函数地址
     BOOL ret = WriteData(bJMPStmt);
     if (!ret)
         return FALSE;

     bSuspend = FALSE;

     return TRUE;
 }

 //    卸载钩子
 BOOL CApiHook::Uninstall()
 {
     if (!bStatus)
         return FALSE;

     //    将目标函数原数据写入目标函数地址
     if (!WriteData(bRawData))
         return FALSE;

     if (hModule != NULL)
         FreeLibrary(hModule);
     memset(this, , sizeof(*this));

     return TRUE;
 }

 BOOL CApiHook::GetHookStatus()
 {
     return bStatus;
 }

 //    获取目标函数的钩子状态
 //    该函数暂仅对在WinXPx86/Win7x86/Win7x64/Win8.1x64下的ntdll.dll/kernel32.dll/user32.dll负责
 BOOL GetProcHookStatus(LPCSTR lpModuleName, LPCSTR lpProcName)
 {
     //    获取目标函数所在的动态链接库的句柄
     HMODULE hModule = GetModuleHandleA(lpModuleName);
     if (hModule == NULL)
         hModule = LoadLibraryA(lpModuleName);
     if (hModule == NULL)
         return ERROR;

     //    获取目标函数的地址
     FARPROC fpProc = GetProcAddress(hModule, lpProcName);
     if (fpProc == NULL)
         return ERROR;

     //    获取目标函数地址的前7字节
     BYTE buf[] = {};
     if (!ReadProcessMemory(GetCurrentProcess(), fpProc, &buf, , NULL))
         return ERROR;

     /*
     E9
     B8 XX XX XX XX FF E0

     例外
     E9 XX XX XX 00
     E9 XX XX XX FA
     E9 XX XX XX FC
     E9 XX XX XX FF
     E9 XX XX XX XX 90
     */

     //    判断前7字节是否存在JMP/MOV指令语句并排除例外
     if ((buf[] == 0xB8 && buf[] == 0xFF && buf[] == 0xE0) ||
         (buf[] == 0xE9 && buf[] != 0x00 && buf[] != 0xFA && buf[] != 0xFC && buf[] != 0xFF && buf[] != 0x90))
         return TRUE;

     return FALSE;
 }

CApiHook.cpp

 #include <cstdio>
 #include <windows.h>

 #include "CApiHook.h"

 CApiHook HookMessageBoxA;

 int WINAPI NewMessageBoxA(HWND hWnd, LPCSTR lpText, LPCSTR lpCaption, UINT uType)
 {
     printf("PAY ATTENTION!! FOUND CALLING : MessageBoxA(%d, \"%s\", \"%s\", %d)\n", hWnd, lpText, lpCaption, uType);

     char cText[MAX_PATH];
     strcpy(cText, lpText);
     strcat(cText, " [Hijack]");

     char cCaption[MAX_PATH];
     strcpy(cCaption, lpCaption);
     strcat(cCaption, " [Hijack]");

     HookMessageBoxA.Suspend();

     int ret = MessageBoxA(NULL, cText, cCaption, MB_ICONERROR);

     HookMessageBoxA.Resume();

     return ret;
 }

 int main()
 {
     MessageBoxA(NULL, "Text1", "Caption1", MB_ICONINFORMATION);

     printf("MessageBoxA Hook Status: %s\n", GetApiHookStatus("User32.dll", "MessageBoxA") ? "YES" : "NO");
     HookMessageBoxA.Install("User32.dll", "MessageBoxA", (FARPROC)NewMessageBoxA);
     printf("MessageBoxA Hook Status: %s\n", GetApiHookStatus("User32.dll", "MessageBoxA") ? "YES" : "NO");

     MessageBoxA(NULL, "Text2", "Caption2", MB_ICONINFORMATION);

     printf("MessageBoxA Hook Status: %s\n", GetApiHookStatus("User32.dll", "MessageBoxA") ? "YES" : "NO");
     HookMessageBoxA.Uninstall();
     printf("MessageBoxA Hook Status: %s\n", GetApiHookStatus("User32.dll", "MessageBoxA") ? "YES" : "NO");

     MessageBoxA(NULL, "Text3", "Caption3", MB_ICONINFORMATION);

     system("pause > nul");
     return ;
 }

main.cpp