安全开发之应用层Hook技术

#include <iostream>
#include <Windows.h>

#if defined(_WIN64)
#define ORIG_BYTES_SIZE 14
#else
#define ORIG_BYTES_SIZE 7
#endif

BYTE OriginalBytes[ORIG_BYTES_SIZE]{}; // 用于保存MessageBoxA的部分原始代码字节
BYTE PatchBytes[ORIG_BYTES_SIZE]{}; // 构造的跳转指令

using MessageBoxAT = int (WINAPI*)(HWND hWnd, LPCSTR lpText, LPCSTR lpCaption, UINT uType);
MessageBoxAT OriginalMessageBox = nullptr;

int WINAPI HookedMessageBox(HWND hWnd, LPCSTR lpText, LPCSTR lpCaption, UINT uType)
{
  // 执行自定义的代码
  SIZE_T bytesOut = 0;

  MessageBoxW(0, L"HookedMessageBox() called", L"Inline Hook", 0);

  // unpatch MessageBoxA
  WriteProcessMemory(GetCurrentProcess(), (LPVOID)OriginalMessageBox, OriginalBytes, sizeof(OriginalBytes), &bytesOut);

  // 调用原来的MessageBoxA
  int result = MessageBoxA(NULL, lpText, lpCaption, uType);

  // 再次patch MessageBoxA
  WriteProcessMemory(GetCurrentProcess(), OriginalMessageBox, PatchBytes, sizeof(PatchBytes), &bytesOut);

  return result;
}

bool SetHook(std::string dllName, std::string origFunc, FARPROC hookingFunc)
{
  SIZE_T bytesIn = 0;
  SIZE_T bytesOut = 0;

  // 保存MessageBoxA原始地址
  OriginalMessageBox = (MessageBoxAT)GetProcAddress(GetModuleHandleA(dllName.c_str()), origFunc.c_str());

  // 保存MessageBoxA的部分原始代码字节
  ReadProcessMemory(GetCurrentProcess(), OriginalMessageBox, OriginalBytes, ORIG_BYTES_SIZE, &bytesIn);

  memset(PatchBytes, 0, sizeof(PatchBytes));
#if defined(_WIN64)
  /*
  JMP [RIP+0];
  xFFx25x00x00x00x00
  x00x11x22x33x44x55x66x77
  */
  memcpy(PatchBytes, "xFFx25", 2);
  memcpy(PatchBytes + 6, &hookingFunc, 8);
#else
  /*
  mov eax, &hookingFunc
  jmp eax
  */
  memcpy(PatchBytes, "xB8", 1);
  memcpy(PatchBytes + 1, &hookingFunc, sizeof(ULONG_PTR));
  memcpy(PatchBytes + 5, "xFFxE0", 2);
#endif

  // patch the MessageBoxA
  WriteProcessMemory(GetCurrentProcess(), OriginalMessageBox, PatchBytes, sizeof(PatchBytes), &bytesOut);

  return true;
}

int main()
{
  // Hook前
  MessageBoxA(0, "Before Hooking", "Inline Hook", 0);

  // 进行Inline Hook
  SetHook("user32.dll", "MessageBoxA", (FARPROC)HookedMessageBox);

  // Hook后
  MessageBoxA(0, "After Hooking", "Inline Hook", 0);

  return 0;
}

#include <Windows.h>
#include <iostream>

// 获取目标函数的地址
ULONG_PTR OriginalMessageBox = NULL;

struct EXCEPTION_HOOK
{
  ULONG_PTR address; // 用来记录异常产生的地址，后面将用来确保是我们人为构造的异常
  BYTE originalBytes; // 用来记录原始目标函数的第一个字节
};
EXCEPTION_HOOK HookInfo;

// 异常处理函数
// 用来修改目标函数原始流程，并在执行完我们功能后修复异常
LONG NTAPI VEHHandler(EXCEPTION_POINTERS* ExceptionInfo)
{
  if (ExceptionInfo->ExceptionRecord->ExceptionCode == EXCEPTION_BREAKPOINT && // 异常类型为断点异常
    (ULONG_PTR)ExceptionInfo->ExceptionRecord->ExceptionAddress == HookInfo.address) // 发生异常的地址为我们主动构造的异常地址
  {
    // 在这里编写自定义的代码，或者修改Hook API的相关参数
    MessageBoxW(0, L"VEHHandler() called", L"VEH Hook", 0);

    // 解除钩子
    DWORD oldProtect = 0;
    VirtualProtect((LPVOID)HookInfo.address, 1, PAGE_EXECUTE_READWRITE, &oldProtect);
    *(BYTE*)HookInfo.address = HookInfo.originalBytes;
    VirtualProtect((LPVOID)HookInfo.address, 1, oldProtect, &oldProtect);

    return EXCEPTION_CONTINUE_EXECUTION; // 回到异常发生的地方，由于已经修复了异常问题，所以之后能够正确执行
  }
  return EXCEPTION_CONTINUE_SEARCH; // 向上继续寻找异常处理程序
}

void SetHook(ULONG_PTR address)
{
  AddVectoredExceptionHandler(1, VEHHandler); // 添加VEH的异常处理函数

  HookInfo.address = address; // 保存目标函数发生异常的地址
  HookInfo.originalBytes = *(BYTE*)address; // 保存目标函数原始的第一个字节

  DWORD oldProtect = 0;
  VirtualProtect((LPVOID)address, 1, PAGE_EXECUTE_READWRITE, &oldProtect);
  *(UCHAR*)address = 0xCC; // 人为构造异常，将目标函数代码处的第一个字节改为0xCC
  VirtualProtect((LPVOID)address, 1, oldProtect, &oldProtect);
}

int main()
{
  // 保存MessageBoxA原始地址
  OriginalMessageBox = (ULONG_PTR)GetProcAddress(GetModuleHandleA("user32.dll"), "MessageBoxA");

  MessageBoxA(0, "Before Hooking", "VEH Hook", 0);

  SetHook(OriginalMessageBox);// 安装钩子用以触发异常
  MessageBoxA(0, "After Hooking", "VEH Hook", 0);

  return 0;
}