inline hook __usercall 函数

usercall 调用约定表示这个函数用寄存器传参，hook 它就没那么方便，需要整一个包装函数。原理是很简单的，下面给个例子，一看就懂：

说明一下我这里用的是 tramp hook 技术，或者叫“蹦床”hook，其实和普通inline hook也没什么区别，封装了一下而已。

//int* __usercall AccessEntInfoList@<eax>(int a1@<ecx>, int a2@<ebx>, int a3@<esi>)
int* __cdecl HookedAccessEntInfoList(int a1, int a2, int a3)
{EntInfoList = a1 + 0x188;__asm{leavepopfdpopadpop ecxpop ebxpop esijmp OldAccessEntInfoList}return 0; // 不会执行
}// hook __usercall 这种函数需要包装一下
__declspec(naked) void WrapperHookedAccessEntInfoList()
{__asm{push esipush ebxpush ecxpushadpushfdjmp HookedAccessEntInfoList}
}typedef int* (__cdecl *tAccessEntInfoList)(int a1, int a2, int a3);
tAccessEntInfoList OldAccessEntInfoList = NULL; // 蹦床
// hook client.dll + 204660 to get the ent info list
OldAccessEntInfoList = (tAccessEntInfoList)Internal::HookFunction((uintptr_t)hClientDll + (uintptr_t)0x204660, 6, (uintptr_t)WrapperHookedAccessEntInfoList);

我有一个 AccessEntInfoList 函数，他用了3个寄存器传参，不是标准的调用约定，于是我就写一个裸函数 WrapperHookedAccessEntInfoList，将这三个寄存器push到栈里，保存其他寄存器，然后 jmp 到 HookedAccessEntInfoList。

HookedAccessEntInfoList 可以按正常函数的方式编程，定义局部变量都是可以的，返回的时候要先恢复寄存器，然后依次将栈里的值弹回给寄存器，然后执行被替换的代码。

hook 用到的工具函数：

BOOL Internal::InlineHook(uintptr_t AddressToHook, size_t nByte, uintptr_t NewAddress)
{#ifdef _WIN64InterlockedCompareExchange128return FALSE;
#elseif (nByte < 5 || nByte > 8){return FALSE;}// 把原始的8字节拷贝过来BYTE Replace[8] = { 0 };memcpy(Replace, (BYTE*)AddressToHook, 8);Replace[0] = 0xE9;DWORD RelativeAddress = NewAddress - AddressToHook - 5;memcpy(Replace + 1, &RelativeAddress, 4);// 要 patch nByte 个字节，前5字节是JMP，其余是 NOPfor (size_t i = 5; i < nByte; i++){Replace[i] = 0x90;}AtomicWrite64(AddressToHook, *(LONG64*)Replace);return TRUE;
#endif
}BOOL Internal::Nop(uintptr_t BeginAddress, size_t nByte)
{return Internal::InlineHook(BeginAddress, 5, BeginAddress + nByte);
}uintptr_t Internal::HookFunction(uintptr_t FunctionToHook, size_t nByte, uintptr_t NewFunction)
{#ifdef _WIN64   return 0;
#elseif (nByte < 5 || nByte > 8) return 0;// Create the gateway (len + 5 for the overwritten bytes + the jmp)uintptr_t gateway = (uintptr_t)VirtualAlloc(0, nByte + 5, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);// Put the bytes that will be overwritten in the gatewaymemcpy((void*)gateway, (void*)FunctionToHook, nByte);// Get the gateway to destination addyuintptr_t gateJmpAddy = FunctionToHook - gateway - 5;// Add the jmp opcode to the end of the gateway*(BYTE*)(gateway + nByte) = (BYTE)0xE9;// Add the address to the jmp*(uintptr_t*)(gateway + nByte + 1) = gateJmpAddy;if (Internal::InlineHook((uintptr_t)FunctionToHook, nByte, (uintptr_t)NewFunction)){return gateway;}else return 0;
#endif
}void Internal::UnhookFunction(uintptr_t FunctionToUnhook, size_t nByte, uintptr_t Gateway)
{#ifdef _WIN64   return 0;
#elseBYTE BytesToReplace[8] = { 0 };Internal::Read(FunctionToUnhook, TRUE, BytesToReplace, 8);BYTE OriginalBytes[8] = { 0 };Internal::Read(Gateway, TRUE, OriginalBytes, nByte);memcpy(BytesToReplace, OriginalBytes, nByte);AtomicWrite64(FunctionToUnhook, *(LONG64*)BytesToReplace);VirtualFree((LPVOID)Gateway, 0, MEM_RELEASE);
#endif
}

inline hook __usercall 函数相关推荐

C语言playsoundw函数,使用inline hook实现修改PC微信通知铃声-哥哥微信来了
本帖最后由 bester 于 2020-2-15 01:20 编辑原贴:https://www.52pojie.cn/thread-1103441-1-1.html 最近频繁刷某音刷到哥哥微信来了的 ...
一种注册表沙箱的思路、实现——Hook Nt函数
Nt函数是在Ring3层最底层的函数了,选择此类函数进行Hook,是为了提高绕过门槛.我的Hook方案使用的是微软的Detours.(转载请指明出处) Detours的Hook和反Hook的写入如下: ...
Inline Hook
@author: dlive IAT Hook时如果要钩取的API不在IAT中(LoadLibrary后调用),则无法使用该技术.而Inline Hook不存在这个限制. 0x01 Inline Ho ...
WIN32 Inline HOOK
Inline hook 和CE里面的代码注入很像(应该是一个东西),这个技术的原理是,修改汇编指令,让某个指令跳转到我们定义的函数,然后在函数内完成被替换的指令,然后再跳转回去.在我们定义的函数内,我 ...
inline hook学习
vs2013编译 //inline hook 实际上就是指通过改变目标函数头部的代码来使改变后的代码跳转至我们自己设置的一个函数里,产生hook.#include <windows.h> ...
Windows驱动开发学习笔记（六）—— Inline HOOK
Windows驱动开发学习笔记(六)-- Inline HOOK SSDT HOOK Inline Hook 挂钩执行流程脱钩实验一:3环 Inline Hook 实验二:0环 Inline H ...
Windows内核实验005 Inline Hook
文章目录准备工作寻找Inline Hook的返回地址编写代码动态变化的返回地址 JmpTargetAddr Inline Hook基本框架示例代码实战HOOK KiTrap01 无需计算偏 ...
Android inline hook手记
2019独角兽企业重金招聘Python工程师标准>>> 许久没搞安全方面的东西了.最近有些时间看了看android下面的开发,看去看来总是想往内深入,结果又往Native和内核挖过去 ...
Ring3下Inline Hook API
用CreateFile为例子,讲解一下Ring3下的Inline Hook API,基本原理很简单 1.获取CreateFile函数的地址 2.读取CreateFile函数的前8个字节 3.将Crea ...

inline hook __usercall 函数

inline hook __usercall 函数相关推荐

最新文章

热门文章