.NET外挂系列：1. harmony 基本原理和骨架分析

一：背景

1. 讲故事

为什么要开这么一个系列，是因为他可以对 .NET SDK 中的方法进行外挂，这种技术对解决程序的一些疑难杂症特别有用，在.NET高级调试 领域下大显神威，在我的训练营里也是花了一些篇幅来说这个，今天我准备用10篇左右来详细聊一聊，供学员和同行们欣赏，详细的文档参考：https://harmony.pardeike.net/articles/intro.html

二：harmony 解读

1. 概念

Harmony 是一个用于在运行时修补、替换和装饰 .NET 方法的库，兼容主流平台，比如 PC、Mac、Linux的32位和64位系统。它的注入模型图如下：

这张图很好理解，就是对你想要 hook 的方法，harmony 会对应生成一个动态方法，然后将需要hook的原方法的il代码全部copy走，同时根据你的配置情况，在il代码之前和il代码之后 配置一个 AOP 逻辑，当然有需要的话，还可以对原方法的 il 代码借助 Transpilers 组件进行修改，总之非常强大。

2. harmony 有哪些注入点

用 harmony 做外挂，肯定要知道注入的一些点位，常见的有：

前缀补丁（Prefix）和后缀补丁（Postfix）

前缀补丁和后缀补丁非常好理解，就是我们理解的 AOP 功能，前者在原始方法执行前执行，后者是在原始方法执行后执行。

转译器补丁（Transpiler）

如果基本的 AOP 功能不能满足，这时候就必须更精细化的控制，对，就是直接修改 copy 之后的 il 代码，这个就比较了，

终结器补丁（Finalizer）

如果构建出来的AOP补丁逻辑会抛异常的话，你又不想让这些异常污染正常的业务代码逻辑，这时候就可以用 终结器补丁 了，相当于对外屏蔽了人家不关心的东西，哈哈，否则容易造成恐慌。

反向补丁（Reverse Patch）

如果说 AOP 是纵向扩展，那反向补丁就是横向扩展，它的原理就是在 DynamicMethod 方法之前生成一个动态代码(Proxy)，后续再跟大家详细聊。

三：案例场景介绍

1. 案例背景

说了这么说，还是说一些比较实际的案例可能大家更感兴趣，我的一个 .NET 程序平时都是好好的，不知道为啥线程突然就暴涨到了1000+，现在很惶恐，不知道是什么逻辑导致的，我用 windbg 观察后发现是都是普通的 Thread 类，输出如下：



0:013> !t

ThreadCount:      1004

UnstartedThread:  0

BackgroundThread: 2

PendingThread:    0

DeadThread:       1

Hosted Runtime:   no

                                                                                                            Lock

 DBG   ID     OSID ThreadOBJ           State GC Mode     GC Alloc Context                  Domain           Count Apt Exception

   0    1     5358 0000024A2661D790    2a020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  11    2      66c 0000024A26687150    2b220 Preemptive  0000024A2AC04F88:0000024A2AC062B8 0000024a26613dc0 -00001 MTA (Finalizer)

XXXX    4        0 0000028ABF061250  1039820 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 Ukn (Threadpool Worker)

  14    5     4f2c 0000028ABF0656C0  302b220 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA (Threadpool Worker)

  16    7     4ed8 0000028ABF069F40  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  17    8     44d8 0000028ABF08B110  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  18    9     4738 0000028ABD4BC640  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  19   10     201c 0000028ABD4BEAC0  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  20   11     49b0 0000028ABD4C0F80  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  21   12     43c8 0000028ABF08E1F0  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  22   13     5020 0000028ABF077170  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  23   14     3c48 0000028ABF07C820  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  24   15     4384 0000028ABF060BB0  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  ...

  1016 1003     5db4 0000028ABF7F9CD0  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

  1017 1004     5db8 0000028ABF7FC190  202b020 Preemptive  0000000000000000:0000000000000000 0000024a26613dc0 -00001 MTA

人对一些未知的东西一般都很焦虑惶恐，那怎么反向找到是什么代码导致的呢？大家可以仔细想一想，既然有人开了 Thread, 那必然要调用相应的 Start 方法，所以思路就很简单了，外挂 Thread.Start 方法就好，先用 ilspy 观察源码。

从图中看当前的 Start 有四个重载，那到底注入哪一个呢？可以全tm注入了，但由于是第一篇就不要搞的那么复杂，挑一个 无参构造函数，参考代码如下：



namespace Example_19_6

{

    internal class Program

    {

        static void Main(string[] args)

        {

            // 创建 Harmony 实例

            var harmony = new Harmony("com.example.threadhook");

            // 应用补丁

            harmony.PatchAll();

            Task.Factory.StartNew(() => { Test(); });

            Console.ReadLine();

        }

        static void Test()

        {

            // 测试线程

            var thread = new Thread(() => Console.WriteLine("线程正在运行"));

            thread.Start();

        }

    }

    [HarmonyPatch(typeof(Thread), "Start", new Type[] { })]

    public class ThreadStartHook

    {

        // 前缀补丁 - 在原始方法执行前运行

        public static void Prefix(Thread __instance)

        {

            Console.WriteLine("----------------------------");

            Console.WriteLine($"即将启动线程: {__instance.ManagedThreadId}");

            Console.WriteLine(Environment.StackTrace);

            Console.WriteLine("----------------------------");

        }

    }

}

卦中的代码稍微解释一下：

ThreadStartHook

这个是注入的主体类，[HarmonyPatch(typeof(Thread), "Start", new Type[] { })] 表示对无参的 Thread.Start 进行外挂。
Prefix

这个是本次问题的核心代码，它在 Thread.Start 函数调用之前执行，其中 __instance 是当前 Thread 的 this 指针，为了能够捕获是谁调用的，我们用 Environment.StackTrace 显示当前的调用栈即可，如果输出了那就真相大白，这里我是输出到控制台，大家可以输出到文件。
PatchAll

有了 patch(ThreadStartHook) 类之后，当调用 harmony.PatchAll() 时，harmony就会在当前程序集中搜索所有的标记为 HarmonyPatch 特性的类，然后构建相应的容纳万物的 DynamicMethod。

代码逻辑相信大概都清楚了，接下来将程序跑起来，观察 Console 输出。

从卦中看，尼玛，原来是代码 Example_19_6.Program.Test() 导致的，这时候就可以根据这个方法在源码中观察一下，为什么会这样？

2. 底层原理浅析

到这里我相信有很多人都有一个疑惑，对 thread.Start(); 方法的注入点在哪里？要想找到这个答案，可以简单粗暴看汇编即可。



0:013> !name2ee System_Private_CoreLib!System.Threading.Thread.Start

Module:      00007ff7fe8c4000

Assembly:    System.Private.CoreLib.dll

Token:       0000000006003691

MethodDesc:  00007ff7feaa1458

Name:        System.Threading.Thread.Start(System.Object)

Not JITTED yet. Use !bpmd -md 00007FF7FEAA1458 to break on run.

-----------------------

Token:       0000000006003693

MethodDesc:  00007ff7feaa1488

Name:        System.Threading.Thread.Start(System.Object, Boolean, Boolean)

Not JITTED yet. Use !bpmd -md 00007FF7FEAA1488 to break on run.

-----------------------

Token:       0000000006003694

MethodDesc:  00007ff7feaa14a0

Name:        System.Threading.Thread.Start()

JITTED Code Address: 00007ff85bd0e440

-----------------------

Token:       0000000006003697

MethodDesc:  00007ff7feaa14e8

Name:        System.Threading.Thread.Start(Boolean, Boolean)

JITTED Code Address: 00007ff85bd0e470

0:013> !U 00007ff85bd0e440

preJIT generated code

System.Threading.Thread.Start()

ilAddr is 00007FF85C11E870 pImport is 000001BAD0805BF0

Begin 00007FF85BD0E440, size 12

/_/src/libraries/System.Private.CoreLib/src/System/Threading/Thread.cs @ 226:

>>> 00007ff8`5bd0e440 e9cb22fba2      jmp     00007ff7`fecc0710

00007ff8`5bd0e445 8f00            pop     qword ptr [rax]

00007ff8`5bd0e447 ba01000000      mov     edx,1

00007ff8`5bd0e44c 4533c0          xor     r8d,r8d

00007ff8`5bd0e44f 48ff20          jmp     qword ptr [rax]

0:013> !U 00007ff7`fecc0710

Normal JIT generated code

DynamicClass.System.Threading.Thread.Start_Patch1(System.Threading.Thread)

Can only work with dynamic not implemented

当你看到卦中的 jmp 00007ff7fecc0710 代码之后，我相信你一切都明白了，这是典型的钩子代码，这要是被杀毒软件知道了，绝对是定斩不赦！画个简图如下：

四：总结

作为一个.NET高级调试师，灵活运用.NET外挂是一个基本功，有了它我就可以轻松的给 .NET SDK 加上日志，从此以后像鹰眼一样，洞察苍穹。