使用Detours HOOK API防DLL注入

[jjqxt]

我要写一个程序，具体作用是这样的：
1.HOOK相关的API,防止外挂的DLL起作用，但是我的代码做的是全局钩子，把游戏的API也拦截了，导致游戏一被钩就关闭。应该怎么办？
我的想法是指定不钩游戏，只钩其他的程序，不知道该怎么做，也不知道行不行得通。

不吝赐教~~~~~~~~~~~~~

代码里调用InstallHook安装全局钩子
只放出DLL代码

// InterceptDll.cpp : 定义 DLL 应用程序的入口点。
//

#include "Hook.h"
#include "detours.h"

#pragma warning(disable: 4099) 
#pragma comment(lib,"detours.lib")


HHOOK g_hHook	= NULL;
HANDLE g_hInst	= NULL;


DETOUR_TRAMPOLINE( HHOOK  WINAPI Real_SetWindowsHookEx( int idHook, HOOKPROC lpfn, HINSTANCE hMod, DWORD dwThreadId),SetWindowsHookEx);

HHOOK  WINAPI Replace_SetWindowsHookEx( int idHook, HOOKPROC lpfn, HINSTANCE hMod, DWORD dwThreadId)
 {
	if(g_hHook != NULL)
	{
		return 0;
	}
	return Real_SetWindowsHookEx(idHook,lpfn,hMod,dwThreadId);
 }

void Intercept()
{
	DetourFunctionWithTrampoline((PBYTE)Real_SetWindowsHookEx, (PBYTE)Replace_SetWindowsHookEx);
}

void UnIntercept()
{
	DetourRemove((PBYTE)Real_SetWindowsHookEx, (PBYTE)Replace_SetWindowsHookEx);
}

BOOL APIENTRY DllMain( HANDLE hinstDLL, DWORD  fdwReason, LPVOID lpvReserved )
{
	g_hInst = hinstDLL;
	
	switch (fdwReason)
	{
		case DLL_PROCESS_ATTACH:
			Intercept();
			break;
		case DLL_THREAD_ATTACH:
			break;
		case DLL_THREAD_DETACH:
			break;
		case DLL_PROCESS_DETACH:
			UnIntercept();
			break;
    }
    return TRUE;
}

LRESULT CALLBACK MyShellProc (int nCode, WPARAM wParam, LPARAM lParam)
{
	return ::CallNextHookEx( g_hHook, nCode, wParam, lParam );
}

void InstallHook()
{
	if(g_hHook == NULL)
	{
		g_hHook = ::SetWindowsHookEx( WH_GETMESSAGE , MyShellProc ,(HINSTANCE)g_hInst, 0);	
	}
}

void UninstallHook()
{
	if(::UnhookWindowsHookEx( g_hHook ))
		g_hHook = NULL;
}

2.还有就是问下外挂把DLL注进来后 还有调用到什么API函数么? 外挂的DLL注入后是如何起作用的?

[MoXiaoRab]

他们写在PROCESS_ATTACH中，注入进来就会直接运行其中的代码了

[oldn123]

case DLL_PROCESS_ATTACH:
里GetModuleFileName取名子和游戏名对比，如果相等则不掉用Intercept();

[cattycat]

同意二楼可以判断名字比较。

[oyljerry]

DLL被各个进程加载的时候判断一下进程名称，路径等，GetModuleFileName，不是希望的就直接返回..

[wangk]

解决的方式楼上的已经都说完了。
补充：
1.外挂的DLL起作用,不止SetWindowsHookEx一个方式。
2.你这样的做法，其他正常应用想要安装钩子也会失败，你需要一个白名单和黑名单。
3.安装钩子未必一定要调用SetWindowsHookEx函数。不在SSDT表中挂钩，在应用层中起不到太多作用

[jjqxt]

[Quote=引用 5 楼 wangk 的回复:]
解决的方式楼上的已经都说完了。
补充：
1.外挂的DLL起作用,不止SetWindowsHookEx一个方式。
2.你这样的做法，其他正常应用想要安装钩子也会失败，你需要一个白名单和黑名单。
3.安装钩子未必一定要调用SetWindowsHookEx函数。不在SSDT表中挂钩，在应用层中起不到太多作用
[/Quote]
1.我钩了好几个API的，只留SetWindowsHookEx只是为了缩短代码，O(∩_∩)O哈！
2.恩，黑白名单确实好复杂，我后续再搞。。。。（头痛啊~~）
3.有几个外挂都用的是全局钩子，所以就比较针对SetWindowsHookEx这个函数了，(*^__^*) 嘻嘻……

[cxw253038773]

[Quote=引用 6 楼 jjqxt 的回复:]
引用 5 楼 wangk 的回复:
解决的方式楼上的已经都说完了。
补充：
1.外挂的DLL起作用,不止SetWindowsHookEx一个方式。
2.你这样的做法，其他正常应用想要安装钩子也会失败，你需要一个白名单和黑名单。
3.安装钩子未必一定要调用SetWindowsHookEx函数。不在SSDT表中挂钩，在应用层中起不到太多作用

1.我钩了好几个API的，只留SetWind……
[/Quote]
请教下,还有哪些函数可以安装钩子?