x64原生Hook API(非Detours)[转自飘云BLOG]

small-q

http://www.dllhook.com/?id=13

1. 和x86没什么两样，就是HOOK代码不同而已~~
   
2. 还是推荐用 Detours，稳定高效！！！
   
3. 
   
4. HOOK原理如下：
   
5. 
   
6. // HOOK指令长度
   
7. #define HOOK_LEN 0xC
   
8. // 保存原始指令
   
9. BYTE Ori_Code[HOOK_LEN] = {0x00};
   
10. 
    
11. // Hook代码
    
12. /*   方式一
    
13. MOV RAX, 0x9090909090909090
    
14. PUSH RAX
    
15. RET
    
16. */
    
17. BYTE HookCode[HOOK_LEN] =
    
18. {
    
19.         0x48, 0xB8, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x50, 0xC3
    
20. };
    
21. 
    
22. /*   方式二
    
23. MOV RAX, 0x9090909090909090
    
24. JMP RAX
    
25. */
    
26. /*
    
27. BYTE HookCode[HOOK_LEN] =
    
28. {
    
29.         0x48, 0xB8, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0xFF, 0xE0
    
30. };
    
31. */
    
32. 
    
33. 
    
34. VOID HookAPI();
    
35. VOID UnHookAPI();
    
36. 
    
37. static int (WINAPI *kernel_MessageBoxW)(
    
38.         HWND hWnd,
    
39.         LPCTSTR lpText,
    
40.         LPCTSTR lpCaption,
    
41.         UINT uType
    
42.         ) = MessageBoxW;
    
43. 
    
44. int WINAPI MyMessageBoxW(
    
45.         HWND hWnd,
    
46.         LPCTSTR lpText,
    
47.         LPCTSTR lpCaption,
    
48.         UINT uType
    
49.         )
    
50. {
    
51.         UnHookAPI();
    
52.         int ret = kernel_MessageBoxW(hWnd, TEXT("Hooked!!"), TEXT("hi"), MB_OK);
    
53.         HookAPI();
    
54.         return ret;
    
55. }
    
56. 
    
57. VOID HookAPI()
    
58. {
    
59.         DWORD OldProtect;
    
60.         ::VirtualProtect(kernel_MessageBoxW, HOOK_LEN, PAGE_EXECUTE_READWRITE, &OldProtect);
    
61.         // 得到原始指令
    
62.         memcpy(Ori_Code, kernel_MessageBoxW, HOOK_LEN);  
    
63.         // 填充跳转地址
    
64.         *(PINT64)(HookCode+2) = (INT64)&MyMessageBoxW;
    
65.         memcpy(kernel_MessageBoxW, &HookCode, sizeof(HookCode));
    
66. }
    
67. 
    
68. VOID UnHookAPI()
    
69. {
    
70.         memcpy(kernel_MessageBoxW, &Ori_Code, sizeof(HookCode));       
    
71. }
    
72. 
    
73. VOID main()
    
74. {
    
75.         MessageBoxW(NULL, TEXT("hello"), TEXT("P.Y.G"), MB_OK);
    
76.         HookAPI();
    
77.         MessageBoxW(NULL, TEXT("hello"), TEXT("P.Y.G"), MB_OK);
    
78.         system("pause");
    
79. }

复制代码

390172962

谢谢分享好东西

gujin162

太棒了，这个必须支持啦

lan451709

我们的友情仍将继续

laiyigeya

学习学习了啊

xie83544109

来学习了，多谢楼主哟