InlineHook的原理与做法

InlineHook翻译为内联钩子 内联也就是我们的内联汇编 钩子就是修改目标的执行流程或代码

cpp 复制代码
#include<iostream>
using namespace std;
#include<Windows.h>

DWORD OldPro = 0;      //老的保护权限
char OldCode[9] = { 0 };  //hook前的汇编代码
DWORD RetData = 0;     //内联汇编结束需要返回的地址

DWORD RetAddr = 0;     //原本被hook函数的返回地址
DWORD Num1 = 0;        //传入的参数1
DWORD Num2 = 0;        //传入的参数2
int Add(int a, int b)
{
	return a + b;
}

_declspec(naked) void HookFun()
{
	__asm     //第一步备份原本的寄存器和Eflag
	{
		PUSHAD
		PUSHFD
	}
	__asm
	{
		MOV EAX, [ESP+0x24]     //原本是esp保存返回地址但是由于前面写了备份寄存器和eflag共0x24个字节
		MOV RetAddr,EAX

		MOV EAX, [ESP+0x28]
		MOV Num1, EAX

		MOV EAX, [ESP+0x2C]
		MOV Num2, EAX
	}
	cout << RetAddr << Num1 << Num2;

	__asm
	{
		POPFD
		POPAD
	}

	__asm   //提高栈顶
	{
		push        ebp
		mov         ebp, esp
		sub         esp, 0xC0
	}

	__asm
	{
		jmp RetData
	}


}

VOID SetInlineHook(DWORD OldAddr, DWORD DeAddr)
{
	//第一步设置内存属性记得恢复属性
	BOOL bRet=VirtualProtect((LPVOID)OldAddr, 9, PAGE_EXECUTE_READWRITE, &OldPro);
	if (!bRet)
	{
		return;
	}
	//第二步保存原本的指令
	memcpy(OldCode, (LPVOID)OldAddr, 9);
	//第三步 设置NOP
	memset((LPVOID)OldAddr, 0x90, 9);
	//第三步 修改汇编
	DWORD JumpAddr = DeAddr - OldAddr - 5;  //计算跳转地址
	char JumpCode[5] = { 0 };
	JumpCode[0] = 0xE9;                    //0x90对应jmp
	*(PCHAR)(JumpCode + 1) = JumpAddr;     //将地址写入后四个位置
	memcpy((LPVOID)OldAddr, JumpCode, 5);
	//恢复属性
	RetData = OldAddr + 5;       //记录返回地址
	VirtualProtect((LPVOID)OldAddr, 9, PAGE_EXECUTE_READ, &OldPro);
}


VOID UnsetInlineHook(DWORD HookAddr)
{
	//第一步修改属性
	DWORD OldProtection = 0;
	BOOL bVpro=VirtualProtect((LPVOID)HookAddr, 9, PAGE_EXECUTE_READWRITE, &OldProtection);
	if (!bVpro)
	{
		return;
	}
	//写入之前保存的代码
	memcpy((LPVOID)HookAddr, OldCode, 9);
	//恢复属性
	VirtualProtect((LPVOID)HookAddr, 9, OldProtection,NULL);
}



int main()
{
	SetInlineHook((DWORD)Add,(DWORD)HookFun);
	Add(1, 2);
	UnsetInlineHook((DWORD)Add);
}

我们对简单的Add函数进行hook

首先写hook函数

cpp 复制代码
VOID SetInlineHook(DWORD OldAddr, DWORD DeAddr)
{
	//第一步设置内存属性记得恢复属性
	BOOL bRet=VirtualProtect((LPVOID)OldAddr, 9, PAGE_EXECUTE_READWRITE, &OldPro);
	if (!bRet)
	{
		return;
	}
	//第二步保存原本的指令
	memcpy(OldCode, (LPVOID)OldAddr, 9);
	//第三步 设置NOP
	memset((LPVOID)OldAddr, 0x90, 9);
	//第三步 修改汇编
	DWORD JumpAddr = DeAddr - OldAddr - 5;  //计算跳转地址
	char JumpCode[5] = { 0 };
	JumpCode[0] = 0xE9;                    //0x90对应jmp
	*(PCHAR)(JumpCode + 1) = JumpAddr;     //将地址写入后四个位置
	memcpy((LPVOID)OldAddr, JumpCode, 5);
	//恢复属性
	RetData = OldAddr + 5;       //记录返回地址
	VirtualProtect((LPVOID)OldAddr, 9, PAGE_EXECUTE_READ, &OldPro);
}

第一步对要进行hook的函数进行修改内存权限

cpp 复制代码
BOOL bRet=VirtualProtect((LPVOID)OldAddr, 9, PAGE_EXECUTE_READWRITE, &OldPro);
	if (!bRet)
	{
		return;
	}

第二步保存hook前目标函数的指令

cpp 复制代码
memcpy(OldCode, (LPVOID)OldAddr, 9);

第三步将函数开头三个指令全部设置为NOP //便于jmp NOP的硬编码为0x90

cpp 复制代码
memset((LPVOID)OldAddr, 0x90, 9);

第四步开始修改汇编 将刚刚nop掉的改为jmp 并记录返回地址

注意跳转地址的计算方式是 跳转到目标地址减去要进行跳转函数的地址再减5(减5的原因是jmp指令长度为5)

0xE9对应的是jmp指令这两步将JumpCode填充完毕然后写入到被hook函数的开头即可

cpp 复制代码
JumpCode[0] = 0xE9;                    //0xE9对应jmp
	*(PCHAR)(JumpCode + 1) = JumpAddr;     //将地址写入后四个位置
	memcpy((LPVOID)OldAddr, JumpCode, 5);
cpp 复制代码
DWORD JumpAddr = DeAddr - OldAddr - 5;  //计算跳转地址
	char JumpCode[5] = { 0 };
	JumpCode[0] = 0xE9;                    //0xE9对应jmp
	*(PCHAR)(JumpCode + 1) = JumpAddr;     //将地址写入后四个位置
	memcpy((LPVOID)OldAddr, JumpCode, 5);

最后记录返回地址(加5是因为当前地址的指令长度为5)并恢复属性

cpp 复制代码
RetData = OldAddr + 5;       //记录返回地址
VirtualProtect((LPVOID)OldAddr, 9, PAGE_EXECUTE_READ, &OldPro);

到这里就完成了hook的准备操作 下面来看hook的过程

cpp 复制代码
_declspec(naked) void HookFun()
{
	__asm     //第一步备份原本的寄存器和Eflag
	{
		PUSHAD
		PUSHFD
	}
	__asm
	{
		MOV EAX, [ESP+0x24]     //原本是esp保存返回地址但是由于前面写了备份寄存器和eflag共0x24个字节
		MOV RetAddr,EAX

		MOV EAX, [ESP+0x28]
		MOV Num1, EAX

		MOV EAX, [ESP+0x2C]
		MOV Num2, EAX
	}
	cout << RetAddr << Num1 << Num2;

	__asm   //到这里我们的操作代码结束
	{
		POPFD
		POPAD
	}

	__asm   //提高栈顶 恢复原本的指令
	{
		push        ebp
		mov         ebp, esp
		sub         esp, 0xC0
	}

	__asm
	{
		jmp RetData
	}


}

hook的代码是裸函数进行内联汇编(Inline)

第一步先保存所有的寄存器和Eflag 然后这里我们拿到我们想要的数据 比如函数的参数和函数返回地址 然后将保存的寄存器和eflag出栈 然后模拟提升栈顶的操作因为原本函数的这个操作被我们nop掉了 然后使用jmp跳转到我们记录的地址即可

最后取消掉我们的钩子避免出问题

cpp 复制代码
VOID UnsetInlineHook(DWORD HookAddr)
{
	//第一步修改属性
	DWORD OldProtection = 0;
	BOOL bVpro=VirtualProtect((LPVOID)HookAddr, 9, PAGE_EXECUTE_READWRITE, &OldProtection);
	if (!bVpro)
	{
		return;
	}
	//写入之前保存的代码
	memcpy((LPVOID)HookAddr, OldCode, 9);
	//恢复属性
	VirtualProtect((LPVOID)HookAddr, 9, OldProtection,NULL);
}

重点就是将原本保存的指令重新写入到函数的起始位置

cpp 复制代码
memcpy((LPVOID)HookAddr, OldCode, 9);

简单来说InlineHook流程 就是使用jmp跳转到我们自己写的代码区域执行我们自己写的代码

注意的是每个步骤需要按照严格的顺序进行书写不然会出现很多问题

相关推荐
竹照煜_ysn5 分钟前
蓝桥杯51单片机设计
单片机·嵌入式硬件·51单片机
Electron-er1 小时前
汽车LIN总线通讯:从物理层到协议栈的深度解析
单片机·汽车电子·lin总线·lin总线通讯
Do vis8241 小时前
STM32第十六天蓝牙模块
stm32·单片机·嵌入式硬件
学不动CV了1 小时前
ARM单片机启动流程(二)(详细解析)
c语言·arm开发·stm32·单片机·51单片机
猫猫的小茶馆3 小时前
【STM32】通用定时器基本原理
c语言·stm32·单片机·嵌入式硬件·mcu·51单片机
jingshaoqi_ccc4 小时前
stm32的USART使用DMA配置成循环模式时发送和接收有着本质区别
stm32·单片机·嵌入式硬件
MingYue_SSS7 小时前
开关电源抄板学习
经验分享·笔记·嵌入式硬件·学习
玉树临风江流儿7 小时前
炸鸡派-定时器基础例程
单片机·嵌入式硬件
小宋同学在不断学习8 小时前
stm32-掌握SPI原理(一)
stm32·单片机·spi
is08158 小时前
STM32的 syscalls.c 和 sysmem.c
c语言·stm32·嵌入式硬件