使用Detours HOOK API防DLL注入

jjqxt 2009-09-21 09:53:23
我要写一个程序,具体作用是这样的:
1.HOOK相关的API,防止外挂的DLL起作用,但是我的代码做的是全局钩子,把游戏的API也拦截了,导致游戏一被钩就关闭。应该怎么办?
我的想法是指定不钩游戏,只钩其他的程序,不知道该怎么做,也不知道行不行得通。

不吝赐教~~~~~~~~~~~~~

代码里调用InstallHook安装全局钩子
只放出DLL代码

// InterceptDll.cpp : 定义 DLL 应用程序的入口点。
//

#include "Hook.h"
#include "detours.h"

#pragma warning(disable: 4099)
#pragma comment(lib,"detours.lib")


HHOOK g_hHook = NULL;
HANDLE g_hInst = NULL;


DETOUR_TRAMPOLINE( HHOOK WINAPI Real_SetWindowsHookEx( int idHook, HOOKPROC lpfn, HINSTANCE hMod, DWORD dwThreadId),SetWindowsHookEx);

HHOOK WINAPI Replace_SetWindowsHookEx( int idHook, HOOKPROC lpfn, HINSTANCE hMod, DWORD dwThreadId)
{
if(g_hHook != NULL)
{
return 0;
}
return Real_SetWindowsHookEx(idHook,lpfn,hMod,dwThreadId);
}

void Intercept()
{
DetourFunctionWithTrampoline((PBYTE)Real_SetWindowsHookEx, (PBYTE)Replace_SetWindowsHookEx);
}

void UnIntercept()
{
DetourRemove((PBYTE)Real_SetWindowsHookEx, (PBYTE)Replace_SetWindowsHookEx);
}

BOOL APIENTRY DllMain( HANDLE hinstDLL, DWORD fdwReason, LPVOID lpvReserved )
{
g_hInst = hinstDLL;

switch (fdwReason)
{
case DLL_PROCESS_ATTACH:
Intercept();
break;
case DLL_THREAD_ATTACH:
break;
case DLL_THREAD_DETACH:
break;
case DLL_PROCESS_DETACH:
UnIntercept();
break;
}
return TRUE;
}

LRESULT CALLBACK MyShellProc (int nCode, WPARAM wParam, LPARAM lParam)
{
return ::CallNextHookEx( g_hHook, nCode, wParam, lParam );
}

void InstallHook()
{
if(g_hHook == NULL)
{
g_hHook = ::SetWindowsHookEx( WH_GETMESSAGE , MyShellProc ,(HINSTANCE)g_hInst, 0);
}
}

void UninstallHook()
{
if(::UnhookWindowsHookEx( g_hHook ))
g_hHook = NULL;
}



2.还有就是问下外挂把DLL注进来后 还有调用到什么API函数么? 外挂的DLL注入后是如何起作用的?
...全文
455 7 打赏 收藏 转发到动态 举报
AI 作业
写回复
用AI写文章
7 条回复
切换为时间正序
请发表友善的回复…
发表回复
cxw253038773 2010-09-22
  • 打赏
  • 举报
回复
[Quote=引用 6 楼 jjqxt 的回复:]
引用 5 楼 wangk 的回复:
解决的方式楼上的已经都说完了。
补充:
1.外挂的DLL起作用,不止SetWindowsHookEx一个方式。
2.你这样的做法,其他正常应用想要安装钩子也会失败,你需要一个白名单和黑名单。
3.安装钩子未必一定要调用SetWindowsHookEx函数。不在SSDT表中挂钩,在应用层中起不到太多作用

1.我钩了好几个API的,只留SetWind……
[/Quote]
请教下,还有哪些函数可以安装钩子?
jjqxt 2009-09-22
  • 打赏
  • 举报
回复
[Quote=引用 5 楼 wangk 的回复:]
解决的方式楼上的已经都说完了。
补充:
1.外挂的DLL起作用,不止SetWindowsHookEx一个方式。
2.你这样的做法,其他正常应用想要安装钩子也会失败,你需要一个白名单和黑名单。
3.安装钩子未必一定要调用SetWindowsHookEx函数。不在SSDT表中挂钩,在应用层中起不到太多作用
[/Quote]
1.我钩了好几个API的,只留SetWindowsHookEx只是为了缩短代码,O(∩_∩)O哈!
2.恩,黑白名单确实好复杂,我后续再搞。。。。(头痛啊~~)
3.有几个外挂都用的是全局钩子,所以就比较针对SetWindowsHookEx这个函数了,(*^__^*) 嘻嘻……
wangk 2009-09-22
  • 打赏
  • 举报
回复
解决的方式楼上的已经都说完了。
补充:
1.外挂的DLL起作用,不止SetWindowsHookEx一个方式。
2.你这样的做法,其他正常应用想要安装钩子也会失败,你需要一个白名单和黑名单。
3.安装钩子未必一定要调用SetWindowsHookEx函数。不在SSDT表中挂钩,在应用层中起不到太多作用
oyljerry 2009-09-22
  • 打赏
  • 举报
回复
DLL被各个进程加载的时候判断一下进程名称,路径等,GetModuleFileName,不是希望的就直接返回..
cattycat 2009-09-22
  • 打赏
  • 举报
回复
同意二楼可以判断名字比较。
oldn123 2009-09-22
  • 打赏
  • 举报
回复
case DLL_PROCESS_ATTACH:
里GetModuleFileName取名子和游戏名对比,如果相等则不掉用Intercept();
MoXiaoRab 2009-09-21
  • 打赏
  • 举报
回复
他们写在PROCESS_ATTACH中,注入进来就会直接运行其中的代码了

15,473

社区成员

发帖
与我相关
我的任务
社区描述
VC/MFC 进程/线程/DLL
社区管理员
  • 进程/线程/DLL社区
加入社区
  • 近7日
  • 近30日
  • 至今
社区公告
暂无公告

试试用AI创作助手写篇文章吧