C++实现实现inline hook的原理及应用实例的原理及应用实例
主要介绍了C++实现inline hook的原理及应用,需要的朋友可以参考下
本文实例简述了C++实现inline hook的原理及应用，对于大家更好的理解inline hook原理及其应用有很大的帮助。具体内容如
下：
一、一、Inline Hook简介：简介：
1.INLINE HOOK原理：原理：
Inline Hook通过硬编码的方式向内核API的内存空间（通常是开始的一段字节，且一般在第一个call之前，这么做是为了防止
堆栈混乱）写入跳转语句，这样，该API只要被调用，程序就会跳转到我们的函数中来，我们在自己写的函数里需要完成3个
任务：
1）重新调整当前堆栈。程序流程在刚刚跳转的时候，内核API并没有执行完，而我们的函数需要根据其结果来进行信息过
滤，所以我们需要保证内核API能在顺利执行完毕后返回到我们的函数中来，这就要求对当前堆栈做一个调整。
2）执行遗失的指令。我们向内核API地址空间些如跳转指令(jmp xxxxxxxx)时，势必要覆盖原先的一些汇编指令，所以我们一
定要保证这些被覆盖的指令能够顺利执行（否则，你的及其就要BSOD了，呵呵，Blue Screen Of Death）。关于这部分指令
的执行，一般是将其放在我们的函数中，让我们的函数“帮助”内核API执行完被覆盖的指令，然后再跳回内核API中被覆盖内后
后的地址继续执行剩余内容。跳回去的时候，一定要算好是跳回到什么地址，是内核API起始地址后的第几个字节。
3）信息过滤。这个就不用多说了，内核API顺利执行并返回到我们的函数中，我们自然要根据其结果做一些信息过滤，这部
分内容因被hook的API以及Hook目的的不同而不同。
2.Inline hook的工作流程：的工作流程：
1）验证内核API的版本（特征码匹配）。
2）撰写自己的函数，要完成以上三项任务。
3）获取自己函数的地址，覆盖内核API内存，供跳转。
简而言之，inlinehook的原理就是，修改函数，使其跳转到我们指定的地方。
常见的有改函数入口，也有改函数尾，函数中间的
比如，通常函数开头的汇编代码都是这样：mov edi,edi;push esp;mov ebp,esp，而我们便可以通过修改这里进行HOOK。
二、示例代码（该示例摘自看雪）二、示例代码（该示例摘自看雪）
#include <ntifs.h>
#include <windef.h>
ULONG g_KiInsertQueueApc;
ULONG g_uCr0;
BYTE g_HookCode[5] = { 0xe9, 0, 0, 0, 0 }; //JMP NEAR
BYTE g_OrigCode[5] = { 0 }; // 原函数的前字节内容
BYTE jmp_orig_code[7] = { 0xEA, 0, 0, 0, 0, 0x08, 0x00 }; //JMP FAR
BOOL g_bHooked = FALSE;
VOID
fake_KiInsertQueueApc (
PKAPC Apc,
KPRIORITY Increment
);
VOID
Proxy_KiInsertQueueApc (
PKAPC Apc,
KPRIORITY Increment
);
void WPOFF()
{
ULONG uAttr;
_asm
{
push eax;
mov eax, cr0;
mov uAttr, eax;
and eax, 0FFFEFFFFh; // CR0 16 BIT = 0
mov cr0, eax;
pop eax;
cli
};
g_uCr0 = uAttr; //保存原有的 CRO 屬性
}
VOID WPON()
评论0