本地HOOK API的列子

[wwwhhb4001]

本地HOOK API(Inline HOOK):
HOOK MessageBoxW 这个,让它跳到我们自己的函数处理之后再调用原来的MessageBoxW,这种本地的HOOK API应该是最简单的HOOK API而且它的作用也不是很明显,但是可以了解什么是HOOK API.

#include <windows.h>
#include <iostream>
using namespace std;

typedef int (WINAPI *pMessageBoxDef)(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType);

char szOldMessageBox[5] = {0};
char szJmpMyMessageBox[5] = {(char)0xe9};
pMessageBoxDef pMessageBox = NULL;

int WINAPI MyMessageBox(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType)
{
wcout<<L"hWnd:"<<(int)hWnd<<endl;
wcout<<L"lpText:"<<lpText<<endl;
wcout<<L"lpCaption:"<<lpCaption<<endl;
wcout<<L"uType:"<<uType<<endl<<endl;

WriteProcessMemory((void*)-1, pMessageBox, szOldMessageBox, 5, NULL);

MessageBoxW(hWnd, lpText, lpCaption, uType);

WriteProcessMemory((void*)-1, pMessageBox, szJmpMyMessageBox, 5, NULL);
return 0;
}

int main()
{
DWORD dwJmpAddr = 0;
HMODULE hModule = LoadLibrary("User32.Dll");
pMessageBox = (pMessageBoxDef)GetProcAddress(hModule, "MessageBoxW");
dwJmpAddr = (DWORD)MyMessageBox - (DWORD)pMessageBox - 5;
memcpy(szJmpMyMessageBox + 1, &dwJmpAddr, 4);
FreeLibrary(hModule);
ReadProcessMemory((void*)-1, pMessageBox, szOldMessageBox, 5, NULL);//读出原来的前5个字节
WriteProcessMemory((void*)-1, pMessageBox, szJmpMyMessageBox, 5, NULL);//写入我们处理后的5个字节

MessageBoxW(GetForegroundWindow(), L"Inline Hook:MessageBox", L"HOOK API", MB_OK);

MessageBoxW(GetForegroundWindow(), L"Hello World", L"Win32", MB_OK);
return 0;
}


==========================================================================

1 请教高手 char szJmpMyMessageBox[5] = {(char)0xe9}; 为什么要取值oxe9呀?

2 ReadProcessMemory((void*)-1, pMessageBox, szOldMessageBox, 5, NULL);这句话中-1和5,是什么意思?

[jingzhongrong]

1、相对跳转JMP指令二进制码就是0xE9
2、ReadProcessMemory第一个参数是要读取的进程的句柄，第四个参数是要读取的字节数

[jingzhongrong]

JMP rel16 E9XXXXXXXX

[jackson35296]

应用层挂钩api，用Detours库很方便