comeasy
借鉴点1 Loadlibray的时间选择
注入库wrotei.dll,为了获取istream的接口,需要loadlibrary,但是在dllmain中是不建议这样做的。因此,动态库在dllmain的时候直接挂载了comeasy.exe的入口
//获取入口
TrueEntryPoint = (int (WINAPI *)(VOID))DetourGetEntryPoint(NULL);
...
//挂载入口
DetourAttach(&(PVOID&)TrueEntryPoint, TimedEntryPoint);
从加载顺序上看
红色箭头指向的wrotei64.dll在ole32.dll之前就已经启动了,而要挂载的函数在ole32.dll里,因此在不调用的loadlibary的情况挂载这些函数可以挂载exe的entrypoint,在exe加载完毕所有dll后运行entrypoint时再调用钩子函数进行ole32函数的挂载。
借鉴点2挂载虚函数
获取istream直接挂载指定的虚函数,直接对虚函数进行挂载,而不是挂载CreateInstance等函数返回一个对象。
CreateStreamOnHGlobal(NULL, TRUE, &pStream);
...
DetourAttach(&(PVOID&)RealIStreamWrite, MineIStreamWrite);
注意MineIStreamWrite的第一个参数是IStream *this。这是因为this是c++方法的第一个默认对象。
commem
借鉴点:虚函数挂载
一个标准的com虚函数挂载样例,演示了虚函数直接调用的方式,充分说明了虚函数的第一个参数this的使用。
Disas
借鉴点:指令拷贝
每个机器指令都有自己的长度,本用例演示了如何从指定的位置拷贝一个完整的指令。
主要使用了
DetourCodeFromPointer和DetourCopyInstruction
Dtest
演示了hook 0个参数1个参数到多个参数,可变参数的hook方法,同时演示了多个detours hook同一个函数时的调用效果
Dumpe
借鉴点:导出表遍历
使用detour函数遍历DLL的导出表,并给出导出函数的序号,位置(RVA),名称。
主要演示了导出表遍历的回调处理。
Dumpi
借鉴点:导入表遍历
使用detour函数遍历exe的导入表,并给出导入函数的模块和名称。
主要演示了导入表遍历的回调处理。
dynamic_alloc
借鉴点,动态分配内存并拷贝代码作为detour运行。
注意该函数还不完整,因为没有调用trampoline。
detours前
// return a non-nullptr value.
void *target_function() {
00007FF6A50511E0 sub rsp,28h
std::cout << '+' << __FUNCTION__ << std::endl;
00007FF6A50511E4 mov dl,2Bh
00007FF6A50511E6 lea rcx,[std::cout (07FF6A50A1640h)]
00007FF6A50511ED call std::operator<<<std::char_traits<char> > (07FF6A5051D50h)
00007FF6A50511F2 lea rdx,[__xt_z+8h (07FF6A508A420h)]
00007FF6A50511F9 mov rcx,rax
00007FF6A50511FC call std::operator<<<std::char_traits<char> > (07FF6A50520C0h)
00007FF6A5051201 lea rdx,[std::endl<char,std::char_traits<char> > (07FF6A5053330h)]
00007FF6A5051208 mov rcx,rax
00007FF6A505120B call std::basic_ostream<char,std::char_traits<char> >::operator<< (07FF6A5054E70h)
return nullptr;
00007FF6A5051210 xor eax,eax
}
00007FF6A5051212 add rsp,28h
00007FF6A5051216 ret
准备的地址,00007FF66504FFF0,如下
00007FF66504FFEE nop
00007FF66504FFEF ret
00007FF66504FFF0 nop
00007FF66504FFF1 nop
00007FF66504FFF2 mov rax,0DEADBEEF00000000h
00007FF66504FFFC nop
00007FF66504FFFD ret
detours之后
void *target_function() {
00007FF6A50511E0 jmp 00007FF665030178
std::cout << '+' << __FUNCTION__ << std::endl;
00007FF6A50511E5 int 3
00007FF6A50511E6 lea rcx,[std::cout (07FF6A50A1640h)]
00007FF6A50511ED call std::operator<<<std::char_traits<char> > (07FF6A5051D50h)
00007FF6A50511F2 lea rdx,[__xt_z+8h (07FF6A508A420h)]
00007FF6A50511F9 mov rcx,rax
00007FF6A50511FC call std::operator<<<std::char_traits<char> > (07FF6A50520C0h)
00007FF6A5051201 lea rdx,[std::endl<char,std::char_traits<char> > (07FF6A5053330h)]
00007FF6A5051208 mov rcx,rax
00007FF6A505120B call std::basic_ostream<char,std::char_traits<char> >::operator<< (07FF6A5054E70h)
return nullptr;
00007FF6A5051210 xor eax,eax
}
00007FF6A5051212 add rsp,28h
00007FF6A5051216 ret
00007FF665030178 jmp qword ptr [7FF665030170h]
最终跳转到00007FF66504FFF0,得到一个非空的返回值,输出如下
1. target_function() without Detour
+target_function
0000000000000000
detour: 00007FF6A50511E0 --> 00007FF66504FFF0 (trampoline: 00007FF665030120 )
2. target_function() with Detour
DEADBEEF00000000
3. target_function() without Detour
+target_function
0000000000000000
虽然有tranmpoline但是没调用,因为detours函数没有调用trampoline。
echo
借鉴点:挂接exe的导出表
有意思的是exe导出了echo,而注入dll,依赖exe以及其导出函数echo。
einst
借鉴点:动态库特征查找
通过插入.detours段,并在里面放置guid,然后遍历所有dll,并在dll里查找.detours段,遍历里面的section,查找数据结构中的guid。
execp
借鉴点:异常捕获的detours处理
获取异常处理函数KiUserExceptionDispatcher,NtContinue。
对KiUserExceptionDispatcher进行hook。该hook是一个通用的处理,用户可以自己设置自己的异常处理函数,而且仅关注业务 就可以了。 在真正的hook处理Detour_KiUserExceptionDispatcher中,需要进行一些异常的处理,然后调用用户自己的异常处理函数,Detour_KiUserExceptionDispatcher根据用户的返回值决定继续还是调用下一个,或是交给调试器。
借鉴点:异常的三种处理方法
程序开始申请了一个可写内存,写入数据,然后将该内存设置为只读。随后顺序调用了safe和raw两个方法,这两个方法会调用BadCode方法,该方法会做两个赋值,位置一个正确但是只读,一个是错误的内存,两处都会触发异常。异常会进入KiUserExceptionDispatcher,由于已经HOOK,因此会进入Detour_KiUserExceptionDispatcher中。在该函数中会调用自己编写的MyVirtualFaultFilter异常处理,MyVirtualFaultFilter会根据异常的类型“访问被拒绝”,以及根据指针是否我们要访问的只读的指针,如果是则将只读的变量值修改为可写,返回continue标志,如果不是则返回查找下一个异常处理函数。如果是要访问的地址,则Detour_KiUserExceptionDispatcher根据continue标志会调用NtContinue继续处理。如果不是要访问的地址,则Detour_KiUserExceptionDispatcher会查找下一个异常处理函数,在safe函数调用中由于包含try catch,会自行正常处理并继续。在raw函数中不包含try catch,程序会异常退出。如果是调试模式则该异常会再次传递给调试器。
注意,NtContinue
是一个系统级调用,它用于在 Windows 内核模式下恢复线程的执行。这个调用通常与异常处理和上下文切换相关。当 NtContinue
被调用时,它实际上是在修改当前线程的上下文,以便线程可以从之前保存的某个点继续执行。以下是exception处理函数CONTEXT参数的内容
NtContinue
不需要返回,因为它实际上是在改变线程的执行流程,而不是像常规函数调用那样执行一些操作然后返回到调用者。当 NtContinue
被调用时,它使用提供的上下文信息来恢复线程的状态,并导致线程从该状态继续执行。这通常意味着线程将从之前保存的某个指令地址开始执行,而不是从 NtContinue
调用之后的点继续。
因此,从调用者的角度来看,NtContinue
之后的代码可能永远不会被执行,因为线程的执行流程已经被改变。这就是为什么 NtContinue
不需要(也不会)返回到调用它的代码位置的原因。实际上,如果 NtContinue
调用成功,那么线程将继续执行,就好像它从未停止过一样,只是现在的状态可能与之前有所不同。
需要注意的是,直接调用或依赖于 NtContinue
这样的低级系统调用通常是不安全的,并且可能破坏系统的稳定性。这些调用通常只在操作系统内核、驱动程序或非常底层的系统级软件中使用。在应用程序级别的代码中直接使用这些调用是不推荐的,除非你对系统的内部工作原理有深入的了解,并且知道你在做什么。
借鉴点:自己处理堆栈
一般情况下不需要用户处理堆栈,但是由于此处的处理特殊性,使用了__declspec(naked)修饰符来自己处理堆栈。因此函数在开始处自己维护堆栈信息。
findfunc
借鉴点:未导出函数的hook
未导出的函数可通过加载符号表的方式找到函数指针然后再hook。
impmunge
借鉴点:隐藏导入库和导入函数
使用方法:
修改导入库和导入表
impmunge.exe /m /o:2.exe 1.exe
注意命令行最后是被修改的文件,顺序不能错。变换如下
file KERNEL32.dll mf_KERNEL32.dll
symbol CreateFileA ms_CreateFileA
symbol CloseHandle ms_CloseHandle
恢复导入表
impmunge.exe /r /o:2.exe 1.exe
member
借鉴点:使用相似类的成员直接Hook
要点:两个类没有成员,可以直接用。如果有成员变量,则需要相同的结构,一边在hook的成员函数中使用目标对象的成员变量。
类成员的指针
static void (CMyTest ::* Real_Target)(void);
这是一个静态成员函数指针,它指向CMyTest类的一个没有参数并且返回类型为void的成员函数。
由于它是静态的,所以你可以在没有CMyTest类的对象的情况下访问它,但你需要一个对象来通过它调用实际的成员函数(因为它是一个成员函数指针,不是指向静态成员函数的指针)。
语法可能看起来有点复杂,但基本上它定义了一个指针,该指针可以指向类CMyTest的任何非静态成员函数,该函数没有参数并返回void。
使用这种成员函数指针的一种常见情况是实现回调函数或策略模式,其中你可以在运行时改变对象的行为。
注意:虽然Real_Target是一个静态成员,但它指向的成员函数可以是非静态的。静态成员只是意味着你不需要类的对象来访问该静态成员本身(在这种情况下是成员函数指针),但你仍然需要一个对象来调用该静态成员所指向的非静态成员函数。
opengl
中规中矩的hook例子,演示如何hook opengl的函数
region待补充
setdll
将dll插入到其他二进制的导入表中,这样该二进制启动的时候会自动加载该dll
simple
中规中矩的hook例子,演示如何hook sleep,并再退出时给出sleep的总毫秒数。
>sleep5.exe
sleep5.exe: Starting.
sleep5.exe: Done sleeping.>withdll.exe /d:simple64.dll sleep5.exe
withdll.exe: Starting: `sleep5.exe'
withdll.exe: with `E:\OpenSource\Detours\bin.X64\simple64.dll'
simple64.dll: Starting.
simple64.dll: Detoured SleepEx().
sleep5.exe: Starting.
sleep5.exe: Done sleeping.
simple64.dll: Removed SleepEx() (result=0), slept 5016 ticks.
simple_safe
同simple,区别:
// The difference between simple and simple_safe is that simple_safe
// uses the C++ 14 overloads which help prevent mismatching types.
slept
中规中矩的hook例子,以上内容的借鉴点包含此例子的内容。
syelog
演示进程间日志记录和处理
syelogd.exe这个可执行文件通常用作一个系统事件日志守护进程(daemon)。它负责接收并记录由 Detours 拦截的 API 调用信息。这些信息对于了解系统行为、调试或分析应用程序非常有用。syelogd.exe
通常与 Detours 库的其他部分一起使用,以提供实时的 API 调用跟踪和日志记录功能。
traceapi
借鉴点:使用syelogd.exe输出日志
使用方式:启动syelogd.exe或syelogd.exe output.log或start syelogd.exe output.log将日志输出到屏幕或日志文件。
启动程序并注入监控dll,监控dll会将api的调用信息输出给syelogd.
withdll.exe /d:trcapi64.dll testapi.exe
trcbld
借鉴点:跟踪进程启动,以及子进程,输出进程的命令行参数。
Runs the build commands and figures out which files have dependencies..
举例:
tracebld /o:tracenotepad notepad.exe
启动notepad.exe,然后通过notepad.exe的打开对话框启动mspaint等程序。
最后退出这些程序,可以得到一个tracenotepad.xml文件,该文件记录了notepad CreateProcess,CloseProcess,DeviceIoControl的调用及其参数,通过这些信息可以分析程序的行为以及子进程。
tracelnk
演示枚举模块和各个模块的导入函数枚举
tracemem
跟踪heapalloc
tracereg、traceser、tracessl、tracetcp
标准的hook例子
tryman
c# managed hook例子
withdll
借鉴点:修改程序导入表,插入新的动态库
使用方法 withdll /d:extends.dll findfunc.exe
将extends.exe插入到findfunc.exe
API说明
DetourGetEntryPoint 得到主程序的入口,方法获取module的基地址,此处是PIMAGE_DOS_HEADER,根据这个信息查找PIMAGE_NT_HEADERS,从里面获取entrypoint的地址,一个例外是如果存在PDETOUR_CLR_HEADER,则获取模块MSCOREE.DLL,返回该dll的函数_CorExeMain。
DetourCodeFromPointer 调用了detour_skip_jmp,跳过几个jmp指令ff25,eb等
DetourCopyInstruction 从src拷贝完整的指令到目标位置
detour_find_jmp_bounds 根据给出的指令地址,找出一个可以放置detours tramplines的位置,该函数解析了目标函数的第一个指令,如果是相对跳转,则根据相对跳转的指令的位置,重新计算tramplines的位置。位置使用目标指令位置前后2GB的位置区间。
detour_alloc_trampoline_allocate_new 以目标地址和给定的区间申请一个地址。在区间中查找地址,并使用VirtualAlloc尝试在给定的位置申请空间。