HiJackDLL64劫持测试情况

lucky_789

HiJackDLL64劫持dll的函数很成熟，测试了无数遍了。为了测试dll导出数组，昨晚学习了一晚上的dll编程。测试结果出乎意料{:soso_e127:}，也可能是编程出现错误。现将情况报告一下。

为了测试，建3个项目：原带输出数组的DLLSample.dll、劫持的DLLSample.dll、测试程序testDll.exe

1、原带输出数组的DLLSample.dll

1. //DLLSample.h
   
2. 
   
3. #ifdef DLLSAMPLE_EXPORTS
   
4. #define DLLSAMPLE_API __declspec(dllexport)
   
5. #else
   
6. #define DLLSAMPLE_API __declspec(dllimport)
   
7. #endif
   
8. 
   
9. extern DLLSAMPLE_API int arrMyNum[];        //输出数组
   
10. DLLSAMPLE_API int GetArrNum(int x);                //输出函数

复制代码

1. // DLLSample.cpp : 定义 DLL 应用程序的导出函数。
   
2. //
   
3. 
   
4. #include "stdafx.h"
   
5. #include "DLLSample.h"
   
6. 
   
7. 
   
8. // 这是导出变量的一个示例
   
9. int arrMyNum[4] = {0};
   
10. 
    
11. // 这是导出函数的一个示例。
    
12. int GetArrNum(int x)
    
13. {
    
14.         arrMyNum[0] = x * 1;
    
15.         arrMyNum[1] = x * 2;
    
16.         arrMyNum[2] = x * 3;
    
17.         arrMyNum[3] = x * 4;
    
18.         return 1;
    
19. }

复制代码

如果这样，导出函数和数组长的这样：


神奇生成的就是这样：


添加一个def吧：
DLLSample.def：

1. LIBRARY        "DLLSample"
   
2. 
   
3. EXPORTS
   
4. GetArrNum
   
5. arrMyNum        DATA

复制代码

这样看的就和常见的一样了：



2、测试程序testDll.exe：

1. //testDll.cpp
   
2. 
   
3. #include <Windows.h>
   
4. #include <stdio.h>
   
5. #include "DLLSample.h"
   
6. 
   
7. #pragma comment(lib, "DLLSample.lib")
   
8. 
   
9. 
   
10. int main()
    
11. {
    
12.         int x;
    
13.         x = 100;
    
14.         GetArrNum(x);                                        //测试导出函数
    
15.         printf("%d\n", arrMyNum[0]);        //测试数组
    
16.         printf("%d\n", arrMyNum[1]);
    
17.         printf("%d\n", arrMyNum[2]);
    
18.         printf("%d\n", arrMyNum[3]);
    
19.         ::system("pause");
    
20.         return 0;
    
21. }

复制代码

OK，编译成功，运行结果：



3、建立劫持项目

先将DLLSample.dll改名为DLLSample.PYG，用神奇生成模板：
DLLSample.def
NsHiJack.asm
NsHiJack.h

新建另一个DLLSample.dll（劫持用），将上述3个文件拷贝到项目中：


编译：

1. 正在编译资源清单...
   
2. Microsoft (R) Windows (R) Resource Compiler Version 6.1.6723.1
   
3. Copyright (C) Microsoft Corporation.  All rights reserved.
   
4. 正在链接...
   
5. LINK : 没有找到 C:\myProcs\test\DLLSample\x64\Debug\DLLSample.dll 或上一个增量链接没有生成它；正在执行完全链接
   
6. x64\Debug\NsHiJack.obj : warning LNK4003: 无效的库格式；已忽略库
   
7. x64\Debug\NsHiJack.obj : warning LNK4003: 无效的库格式；已忽略库
   
8.    正在创建库 C:\myProcs\test\DLLSample\x64\Debug\DLLSample.lib 和对象 C:\myProcs\test\DLLSample\x64\Debug\DLLSample.exp
   
9. x64\Debug\NsHiJack.obj : warning LNK4003: 无效的库格式；已忽略库
   
10. 正在嵌入清单...
    
11. Microsoft (R) Windows (R) Resource Compiler Version 6.1.6723.1
    
12. Copyright (C) Microsoft Corporation.  All rights reserved.
    
13. x64\Debug\NsHiJack.obj : warning LNK4003: 无效的库格式；已忽略库
    
14. x64\Debug\NsHiJack.obj : warning LNK4003: 无效的库格式；已忽略库
    
15.    正在创建库 C:\myProcs\test\DLLSample\x64\Debug\DLLSample.lib 和对象 C:\myProcs\test\DLLSample\x64\Debug\DLLSample.exp
    
16. x64\Debug\NsHiJack.obj : warning LNK4003: 无效的库格式；已忽略库
    
17. 生成日志保存在“file://c:\myProcs\test\DLLSample\DLLSample\x64\Debug\BuildLog.htm”
    
18. DLLSample - 0 个错误，6 个警告
    
19. ========== 全部重新生成: 成功 1 个，失败 0 个，跳过 0 个 ==========

复制代码

成功。

将新的DLLSample.dll复制到testDll.exe目录，运行：



结果是错误的。

劫持是成功的：


问题出在哪里呢？



跟进去：


走出来就不对了：
是否要用指针取数组？晚上再测试了

Nisy

问题可能在这里
lpk 的导出数组是dll初始化（dllmain 或 代码已直接赋值）的时候就已经赋值了，而你的导出数组是需要在调用某个函数后才给予赋值。劫持dll是在初始化的时候就把你导出的数组的数据进行了COPY，大约问题就出在这里。这种的话劫持貌似无解（需要在调用赋值函数的时候再次对导出数据赋值）。

qqlinhai

好大个HyperSnap水印~

lucky_789

Nisy 发表于 2015-1-13 14:49
问题可能在这里
lpk 的导出数组是dll初始化（dllmain 或 代码已直接赋值）的时候就已经赋值了，而你的导 ...

原来是这样啊{:soso_e154:}。还有导出的类没有测试，回头找空也测试一下。

lucky_789

qqlinhai 发表于 2015-1-13 15:41
好大个HyperSnap水印~

时间太匆忙了，没来得及“注册”{:soso_e113:}

zhluosss

什么时候可以放出来工具啊，