Hook技术2_内存中修改模块开头代码为跳转语句.doc

Hook技术2 内存中修改模块开头代码为跳转语句这种霸道的技术，一般不推荐使用，除非无奈之下，不妨可以试试。原理也很简单，要导入一个Dll，把它在内存中的代码，前几代改为JUMP 我的函数地址然后，在我的里，再把他的几行代码改回去，把我自己的事做完之后，再调用它，也可以不调用。最后它返回后，又将它的前几行代码改为JUMP。原理非常简单：下面给出一个封装好的类： / ULHook.h #ifndef _ULHOOK_H_#define _ULHOOK_H_ #include class CULHookpublic: CULHook(LPSTR pszModName, LPSTR pszFuncName, PROC pfnHook); CULHook(); / 取消挂钩 void Unhook(); / 重新挂钩 void Rehook();protected: PROC m_pfnOrig; / 目标API函数的地址 BYTE m_btNewBytes8; / 新构建的个字节 BYTE m_btOldBytes8; / 原来个字节 HMODULE m_hModule; #endif / _ULHOOK_H_ / ULHook.cpp文件 #include ULHook.h CULHook:CULHook(LPSTR pszModName, LPSTR pszFuncName, PROC pfnHook) / jmp eax = 0xFF, 0xE0 / 生成新的执行代码 BYTE btNewBytes8 = 0xB8, 0x00, 0x00, 0x40, 0x00, 0xFF, 0xE0, 0x00 ; memcpy(m_btNewBytes, btNewBytes, 8); *(DWORD *)(m_btNewBytes + 1) = (DWORD)pfnHook; / 加载指定模块，取得API函数地址 m_hModule = :LoadLibrary(pszModName); if(m_hModule = NULL) m_pfnOrig = NULL; return; m_pfnOrig = :GetProcAddress(m_hModule, pszFuncName); / 修改原API函数执行代码的前个字节，使它跳向我们的函数 if(m_pfnOrig != NULL) DWORD dwOldProtect; MEMORY_BASIC_INFORMATION mbi; :VirtualQuery( m_pfnOrig, &mbi, sizeof(mbi) ); :VirtualProtect(m_pfnOrig, 8, PAGE_READWRITE, &dwOldProtect); / 保存原来的执行代码 memcpy(m_btOldBytes, m_pfnOrig, 8); / 写入新的执行代码 :WriteProcessMemory(:GetCurrentProcess(), (void *)m_pfnOrig, m_btNewBytes, sizeof(DWORD)*2, NULL); :VirtualProtect(m_pfnOrig, 8, mbi.Protect, 0); CULHook:CULHook() Unhook(); if(m_hModule != NULL) :FreeLibrary(m_hModule); void CULHook:Unhook() if(m_pfnOrig != NULL) DWORD dwOldProtect; MEMORY_BASIC_INFORMATION mbi; :VirtualQuery(m_pfnOrig, &mbi, sizeof(mbi); :VirtualProtect(m_pfnOrig, 8, PAGE_READWRITE, &dwOldProtect); / 写入原来的执行代码 :WriteProcessMemory(:GetCurrentProcess(), (void *)m_pfnOrig, m_btOldBytes, sizeof(DWORD)*2, NULL); :VirtualProtect(m_pfnOrig, 8, mbi.Protect, 0); void CULHook:Rehook() / 修改原API函数执行代码的前个字节，使它跳向我们的函数 if(m_pfnOrig != NULL) DWORD dwOldProtect; MEMORY_BASIC_INFORMATION mbi; :VirtualQuery( m_pfnOrig, &mbi, sizeof(mbi) ); :VirtualProtect(m_pfnOrig, 8, PAGE_READWRITE, &dwOldProtect); / 写入新的执行代码 :WriteProcessMemory(:GetCurrentProces