欧美vvv,亚洲第一成人在线,亚洲成人欧美日韩在线观看,日本猛少妇猛色XXXXX猛叫

hook技術應用廣泛，如熱補丁升級技術，API劫持，軟件破解等，是一門很實用的逆向安全技術。本文就簡明的講解hook技術的基本原理，實現方法，同時送上demo實例。

一. HOOK技術的基本原理

Hook技術的原理的:就是修改程序的運行時PC指針，讓程序跳到我們指定的代碼中運行，運行完我們的程序，程序PC指針又回到原來程序的下一條指令。簡而言之：就篡改程序的運行路徑，來執行我們的程序。

二．Hook技術的實現

1）需求分析

原來的程序中的test.exe調用myprintf,現在我們要實現不編譯源代碼test.exe和test_dll源代碼的前提下（你懂的，破解軟件都是拿不到源代碼的）讓test.exe去調用MyPrintf_new。

其中：

test_dll的實現：

int MyPintf(int d)
{
     printf("hello,this is test ,test value is %d\n", d);
      return d+1;
}

test.exe的實現：

int _tmain(int argc, _TCHAR* argv[])
{
    int d = 0;
    d = MyPintf(2);
    printf("d %d\n", d);
    getchar();
    return 0;
}

我們目標要實現main函數調用MyPintf_new

int  MyPintf_new(int d)
{
    printf("hello,this is my hook test ,test value is %d\n", d);
    return d+10;
}

其中MyPintf_new我們在hook_dll中實現。

2）關鍵代碼的實現

在hook_dll加載時篡改MyPintf的跳轉指令。

其中

GetApiEntrance（）備份原來的跳轉指令，構造新函數的跳轉指令。

HookOn()用于改寫進程空間中目標函數的跳轉指令

HookOff()用于還原進程空間中目標函數的跳轉指令

void GetApiEntrance()
{

    //獲取原API入口地址
    HMODULE hmod = ::GetModuleHandle(L"test_dll.dll");
    OldFun = (fun)::GetProcAddress(hmod, "MyPintf");
    pfOldFun = (FARPROC)OldFun;
    if (pfOldFun == NULL)
    {
        printf("獲取原API入口地址出錯");
        return;
    }
//    OldFun(88);
#ifndef WIN64
    // 將原API的入口前5個字節代碼保存到OldCode[]
    _asm
    {
           lea edi, OldCode     //獲取OldCode數組的地址,放到edi
            mov esi, pfOldFun //獲取原API入口地址，放到esi
            cld   //方向標志位，為以下兩條指令做準備
            movsd //復制原API入口前4個字節到OldCode數組
            movsb //復制原API入口第5個字節到OldCode數組
    }


    NewCode[0] = 0xe9;//實際上0xe9就相當于jmp指令

    //獲取MyPintf_new的相對地址,為Jmp做準備
    //int nAddr= UserFunAddr – SysFunAddr - （我們定制的這條指令的大小）;
    //Jmp nAddr;
    //（我們定制的這條指令的大?。? 這里是5，5個字節嘛
    //BYTE NewCode[5];
    _asm
    {
            lea eax, MyPintf_new //獲取我們的MyPintf_new函數地址
            mov ebx, pfOldFun  //原系統API函數地址
            sub eax, ebx             //int nAddr= UserFunAddr – SysFunAddr
            sub eax, 5           //nAddr=nAddr-5
            mov dword ptr[NewCode + 1], eax //將算出的地址nAddr保存到NewCode后面4個字節
            //注：一個函數地址占4個字節
    }

#else
//    JMP_X64(OldCode, pfOldFun, NewCode);
#endif

    //填充完畢，現在NewCode[]里的指令相當于Jmp MyPintf_new
    //既然已經獲取到了Jmp MyMessageBoxW
    //現在該是將Jmp MyMessageBoxW寫入原API入口前5個字節的時候了
    //知道為什么是5個字節嗎？
    //Jmp指令相當于0xe9,占一個字節的內存空間
    //MyMessageBoxW是一個地址，其實是一個整數，占4個字節的內存空間
    //int n=0x123;   n占4個字節和MyPintf_new占4個字節是一樣的
    //1+4=5，知道為什么是5個字節了吧
    HookOn();
}
//開啟鉤子的函數
void HookOn()
{
#ifdef WIN64
//to do it 
#else
    DWORD dwPid = ::GetCurrentProcessId();
    //printf("pid %d\n", dwPid);
    hProcess = OpenProcess(PROCESS_ALL_ACCESS, 0, dwPid);
    assert(hProcess != NULL);
    //printf("HookOn now,hProcess %d\n", hProcess);
    DWORD dwTemp = 0;
    DWORD dwOldProtect;

    //修改API函數入口前5個字節為jmp xxxxxx
    VirtualProtectEx(hProcess, pfOldFun, 5, PAGE_READWRITE, &dwOldProtect);
    WriteProcessMemory(hProcess, pfOldFun, NewCode, 5, 0);
    VirtualProtectEx(hProcess, pfOldFun, 5, dwOldProtect, &dwTemp);
#endif
    printf("HookOn end\n");

}

//關閉鉤子的函數
void HookOff()
{
#ifdef WIN64
//to do it
#else
    assert(hProcess != NULL);

    DWORD dwTemp = 0;
    DWORD dwOldProtect;

    //恢復API函數入口前5個字節
    VirtualProtectEx(hProcess, pfOldFun, 5, PAGE_READWRITE, &dwOldProtect);
    WriteProcessMemory(hProcess, pfOldFun, OldCode, 5, 0);
    VirtualProtectEx(hProcess, pfOldFun, 5, dwOldProtect, &dwTemp);
#endif
}

4）使用工具將hook_dll.dll打進test.exe導入表，讓test.exe拉起hook_dll.dll。
這樣test.exe啟動時就能加載hook_dll.dll，同時調用GetApiEntrance完成hook的初始化。

三 結果演示

原始的test.exe 演示效果

Hook之后的test.exe演示效果

對于64位hook，由于64位系統的指令系統，寄存器空間也不一樣。需要研究一下X64的指令系統以及寄存器使用?；舅悸肥且粯拥?，唯獨就是JMP那條指令實現不一樣，敬請期待。

更多更詳細信息請關注公眾號：AV_Chat