我想说一句，大家不要总说Detours，因为表面上Detours可以很容易的钩住api，但是他的自由度太低了。最重要的是，他无法完成ssdt hook，还是提高自己的水平最重要。
我改出了两个版本一个是asm的一个是vc的，但是奇怪的是asm代码没有问题，而vc的代码却出了问题，我希望高手能帮我解决以下两个问题，
第一个问题：就是在vc代码中(根据王艳萍的windows程序设计代码修改)
在构建新的跳转字节是靠这段代码
BYTE btNewBytes[8]={0xB8,0xE0,0x18,0x00,0x10,0xFF,0xE0,0x00};
这个机器吗的含义是，jmp到我们自己定义的MyCreateProcessA函数处。
这里使用是固定值，只要我们稍微修改一下代码，这里就要修改，很麻烦的是，如果使用非debug版本，你找不到jmp到这个函数的直接代码，需要你自己去调试查找非常麻烦。
而asm中是自己动态获得的
获得代码如下
mov hacker.a,0B8h ;mov eax,
;mov hacker.d PMyapi ;0x000000
mov hacker.d,0FFh ;jmp
mov hacker.e, 0E0h ;eax
中间有间隔
mov hacker.PMyapi,offset MyAPI ;0x000010 ;要替代API的函数地址
这样的话，完全不用考虑api的地址由程序自己来定位，由于本人vc功力不够，实在不知道如何实现这个代码，希望高手能指点一二。
第二个问题相对简单点，大家可以看见，我asm的代码中钩的是createprocessw而vc钩的是createprocessa，为什么呢？explorer实际上是调用createprocessw来启动程序的，用createprocessa是钩不住explorer启动的程序。而我在用vc写createprocessw钩子的时候，解决不了unicode的问题，因为MyCreateProcessA的特殊性，他要求跟原来的函数格式一样，所以只要我一使用WideCharToMultiByte这类的函数，返回值就出错了。而如果完全用unicode来写这个函数，我又不知道LPSTARTUPINFO这个的宽字符格式是什么？所以也请高手同样给与指点！
#pragma comment(linker,"/BASE:0xBFF70000")
#include "stdafx.h"
#include "dllin.h"
PROC m_pfnOrig;
BYTE m_btNewBytes[8];
BYTE m_btOldBytes[8];
HMODULE m_hMod;
BOOL WriteBack()
{
if(m_pfnOrig != NULL)
{
DWORD dwOldProtect;
MEMORY_BASIC_INFORMATION mbi;
::VirtualQuery(m_pfnOrig, &mbi, sizeof(mbi));
::VirtualProtect(m_pfnOrig, 8, PAGE_READWRITE, &dwOldProtect);
// 写入原来的执行代码
::WriteProcessMemory(::GetCurrentProcess(), (void *)m_pfnOrig,
m_btOldBytes, sizeof(DWORD)*2, NULL);
::VirtualProtect(m_pfnOrig, 8, mbi.Protect, 0);
return true;
}
return false;
}
BOOL APIENTRY DllMain( HANDLE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)
{ BYTE btNewBytes[8]={0xB8,0xE0,0x18,0x00,0x10,0xFF,0xE0,0x00};
memcpy(m_btNewBytes,btNewBytes,8);
if (ul_reason_for_call==DLL_PROCESS_ATTACH) //当DLL加载时产生此事件
{
m_hMod=::LoadLibrary("kernel32.dll"); //取API地址 //保存API地址
if (m_hMod==NULL)
{
m_pfnOrig=NULL;
return true;
}
m_pfnOrig=::GetProcAddress(m_hMod,"CreateProcessA");
if (m_pfnOrig!=NULL)
{
DWORD oldProc;
MEMORY_BASIC_INFORMATION mbi;
::VirtualQuery (m_pfnOrig,&mbi,sizeof(mbi));
::VirtualProtect( m_pfnOrig,8,PAGE_READWRITE,&oldProc);
memcpy(m_btOldBytes,m_pfnOrig,8);
::WriteProcessMemory(::GetCurrentProcess(),(void*)m_pfnOrig,m_btNewBytes,sizeof(DWORD)*2,NULL);
::VirtualProtect( m_pfnOrig,8,mbi.Protect ,0);
return true;
}
}
if (ul_reason_for_call==DLL_PROCESS_DETACH) //当DLL加载时产生此事件
{
WriteBack();
return TRUE;
}
return TRUE;
}
BOOL Rehook()
{
// 修改原API函数执行代码的前8个字节，使它跳向我们的函数
if(m_pfnOrig != NULL)
{
DWORD dwOldProtect;
MEMORY_BASIC_INFORMATION mbi;
::VirtualQuery( m_pfnOrig, &mbi, sizeof(mbi) );
::VirtualProtect(m_pfnOrig, 8, PAGE_READWRITE, &dwOldProtect);
// 写入新的执行代码
::WriteProcessMemory(::GetCurrentProcess(), (void *)m_pfnOrig,
m_btNewBytes, sizeof(DWORD)*2, NULL);
::VirtualProtect(m_pfnOrig, 8, mbi.Protect, 0);
return true;
}
return FALSE;
}
BOOL MyCreateProcessA(
LPCTSTR lpApplicationName, // pointer to name of executable module
LPTSTR lpCommandLine, // pointer to command line string
LPSECURITY_ATTRIBUTES lpProcessAttributes, // pointer to process security attributes
LPSECURITY_ATTRIBUTES lpThreadAttributes, // pointer to thread security attributes
BOOL bInheritHandles, // handle inheritance flag
DWORD dwCreationFlags, // creation flags
LPVOID lpEnvironment, // pointer to new environment block
LPCTSTR lpCurrentDirectory, // pointer to current directory name
LPSTARTUPINFO lpStartupInfo, // pointer to STARTUPINFO
LPPROCESS_INFORMATION lpProcessInformation // pointer to PROCESS_INFORMATION
)
{
PROCESS_INFORMATION ProcessInfo;
WriteBack();
DWORD rets=::MessageBox(NULL,GetCommandLine(),lpApplicationName,4);
if (rets!=7)
{
BOOL shutok=::CreateProcess(
lpApplicationName, // pointer to name of executable module
lpCommandLine, // pointer to command line string
lpProcessAttributes, // pointer to process security attributes
lpThreadAttributes, // pointer to thread security attributes
bInheritHandles, // handle inheritance flag
CREATE_SUSPENDED, // creation flags
lpEnvironment, // pointer to new environment block
lpCurrentDirectory, // pointer to current directory name
lpStartupInfo, // pointer to STARTUPINFO
&ProcessInfo // pointer to PROCESS_INFORMATION
);
//HANDLE hProcess1=ProcessInfo.hProcess;
//RemoteLoadLibrary(hProcess1,"hook.dll");
//ResumeThread(ProcessInfo.hThread);
}
Rehook();
__asm
{
mov eax,shutok;
leave;
ret 40;
}
return 0;
}
