C# hook send and recv

2015-08-24 04:41:16 315 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

Windows平台Frida逆向实战：从Hook到主动调用的完整指南动态代码插桩技术是现代软件逆向分析与安全测试的核心方法之一，它允许在程序运行时监控和修改其行为。其原理是通过向目标进程注入代理代码，拦截函数调用、读写内存或执行自定义逻辑，从而实现对程序内部机制的深度探查。这项技术的核心价值在于无需源代码即可进行动态分析，广泛应用于软件调试、漏洞挖掘、协议分析和安全加固等领域。在Windows桌面应用逆向场景中，针对C++、C#等原生程序的分析需求尤为常见，例如分析软件授权验证、理解数据存储格式或自动化GUI操作。Frida作为一款强大的动态插桩框架，通过其独特的客户端-服阅读详情

求代码例子。文件包

...全文

C++游戏逆向实战：从内存操作到Hook技术的完整路径游戏逆向工程是深入理解软件运行机制的重要领域，其核心在于分析已编译程序的内存结构、数据流和逻辑流程。从原理上看，程序在内存中的布局直接反映了源代码的数据结构设计，尤其是C++这类系统级语言编写的应用。掌握内存操作、指针运算和数据结构对齐等底层知识，能够帮助开发者准确解读程序运行时的状态。这项技术的工程价值在于，它不仅是安全研究和漏洞分析的基础，也是性能优化、兼容性调试和遗留系统维护的关键手段。在实际应用场景中，游戏逆向常被用于单机游戏模组开发、反作弊机制研究、以及软件行为分析等。本文聚焦于C++在游戏逆向中阅读详情

chaoliufu2

C# 111,129 成员 642,538 内容

+ 关注 + 加入社区

切换为时间正序

crystal_lz 2015-08-25

打赏
举报

引用 3 楼 crystal_lz 的回复:

微软提供了一套拦截api的接口百度一下关键字：detours 需要编译安装然后只有 lib 文件然后由于我不知道怎么让C#调用lib文件所以我用C++ 写了一个Dll 注入到目标进程里面去大概代码如下关键注释已经打上自己DIY：
#include <detours.h>    //这个需要自己安装

#pragma comment(lib,"ws2_32.lib")
#pragma comment(lib, "detours.lib")

static int (WINAPI* OLD_recv)(SOCKET s,char FAR* buf,int len,int flags) = recv;//保存旧的函数指针

int WINAPI NEW_recv(SOCKET s,char FAR* buf,int len,int flags)//定义新的替换函数
{
    int stLen = 0;
    int recvLen = 0;
    SOCKADDR_IN addrClient;
    stLen = sizeof(addrClient);
    memset(&addrClient,0,stLen);
    getsockname(s,(sockaddr *)&addrClient,&stLen);//得到目标客户端信息
	//其他代码
    return OLD_recv(s,buf,len,flags);//自己决定是否调用原来的函数
}


VOID Hook()
{
    DetourRestoreAfterWith();
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    //这里可以连续多次调用DetourAttach，表明HOOK多个函数
    DetourAttach(&(PVOID&)OLD_recv,NEW_recv);
    DetourTransactionCommit();
	fout << l << endl;
	fout << flush;
	fout.close();
}

VOID UnHook()
{
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    //这里可以连续多次调用DetourDetach,表明撤销多个函数HOOK
	DetourDetach(&(PVOID&)OLD_recv,NEW_recv);
    DetourTransactionCommit();
}

BOOL WINAPI DllMain(HANDLE hInsDLL,DWORD dwReason,LPVOID lpvReserved){
    switch(dwReason){
    case DLL_PROCESS_ATTACH://进程加载Dll
        Hook();
        break;
    case DLL_PROCESS_DETACH://进程卸载Dll
        UnHook();
        break;
    }
    return TRUE;
}
因为不知道怎么引用 lib 文件所以才用C++写的就算不用微软提供的那个什么也是可以去拦截的但是。。既然是要去拦截别人的代码那么问题来了你的把代码搞到对方的进程里面去才行而最简单的方式就是写一个dll 然后注入到对方的进程里面去貌似C# 也没有办法完成这档子的事情当然非要用C#的话如果你事先把你要替换的函数非托管代码编译好然后取出byte字节通过VirtualAllocEx函数去对方进程申请相应字节的空间会得到一个地址然后通过 WriteProcessMemory 在这个地址写入进去然后去目标进程的读取镜像的PE文件头替换导入表里面recv函数的地址改成刚才申请的那个地址目标进程在调用recv的时候就会调用到你的函数了搞得这个麻烦还不如直接用C++搞了可以参考《Windows核心编程》Hook api 章节

刚才的代码没有删除干净有几句文件输出的代码是我测试的时候加上去的再贴一个吧


static int (WINAPI* OLD_recv)(SOCKET s,char FAR* buf,int len,int flags) = recv;//保存旧的函数指针

int WINAPI NEW_recv(SOCKET s,char FAR* buf,int len,int flags)//定义新的替换函数
{
    int stLen = 0;
    int recvLen = 0;
    SOCKADDR_IN addrClient;
    stLen = sizeof(addrClient);
    memset(&addrClient,0,stLen);
    getsockname(s,(sockaddr *)&addrClient,&stLen);//得到目标客户端信息
	//其他代码
    return OLD_recv(s,buf,len,flags);
}


VOID Hook()
{
    DetourRestoreAfterWith();
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    //这里可以连续多次调用DetourAttach，表明HOOK多个函数
    DetourAttach(&(PVOID&)OLD_recv,NEW_recv);
	
    DetourTransactionCommit();
}

VOID UnHook()
{
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    //这里可以连续多次调用DetourDetach,表明撤销多个函数HOOK
	DetourDetach(&(PVOID&)OLD_recv,NEW_recv);
	
    DetourTransactionCommit();
}

BOOL WINAPI DllMain(HANDLE hInsDLL,DWORD dwReason,LPVOID lpvReserved){
    switch(dwReason){
    case DLL_PROCESS_ATTACH://进程加载Dll
        Hook();
        break;
    case DLL_PROCESS_DETACH://进程卸载Dll
        UnHook();
        break;
    }
    return TRUE;
}

crystal_lz 2015-08-25

打赏
举报

微软提供了一套拦截api的接口百度一下关键字：detours 需要编译安装然后只有 lib 文件然后由于我不知道怎么让C#调用lib文件所以我用C++ 写了一个Dll 注入到目标进程里面去大概代码如下关键注释已经打上自己DIY：


#include <detours.h>    //这个需要自己安装

#pragma comment(lib,"ws2_32.lib")
#pragma comment(lib, "detours.lib")

static int (WINAPI* OLD_recv)(SOCKET s,char FAR* buf,int len,int flags) = recv;//保存旧的函数指针

int WINAPI NEW_recv(SOCKET s,char FAR* buf,int len,int flags)//定义新的替换函数
{
    int stLen = 0;
    int recvLen = 0;
    SOCKADDR_IN addrClient;
    stLen = sizeof(addrClient);
    memset(&addrClient,0,stLen);
    getsockname(s,(sockaddr *)&addrClient,&stLen);//得到目标客户端信息
	//其他代码
    return OLD_recv(s,buf,len,flags);//自己决定是否调用原来的函数
}


VOID Hook()
{
    DetourRestoreAfterWith();
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    //这里可以连续多次调用DetourAttach，表明HOOK多个函数
    DetourAttach(&(PVOID&)OLD_recv,NEW_recv);
    DetourTransactionCommit();
	fout << l << endl;
	fout << flush;
	fout.close();
}

VOID UnHook()
{
    DetourTransactionBegin();
    DetourUpdateThread(GetCurrentThread());
    //这里可以连续多次调用DetourDetach,表明撤销多个函数HOOK
	DetourDetach(&(PVOID&)OLD_recv,NEW_recv);
    DetourTransactionCommit();
}

BOOL WINAPI DllMain(HANDLE hInsDLL,DWORD dwReason,LPVOID lpvReserved){
    switch(dwReason){
    case DLL_PROCESS_ATTACH://进程加载Dll
        Hook();
        break;
    case DLL_PROCESS_DETACH://进程卸载Dll
        UnHook();
        break;
    }
    return TRUE;
}

因为不知道怎么引用 lib 文件所以才用C++写的就算不用微软提供的那个什么也是可以去拦截的但是。。既然是要去拦截别人的代码那么问题来了你的把代码搞到对方的进程里面去才行而最简单的方式就是写一个dll 然后注入到对方的进程里面去貌似C# 也没有办法完成这档子的事情当然非要用C#的话如果你事先把你要替换的函数非托管代码编译好然后取出byte字节通过VirtualAllocEx函数去对方进程申请相应字节的空间会得到一个地址然后通过 WriteProcessMemory 在这个地址写入进去然后去目标进程的读取镜像的PE文件头替换导入表里面recv函数的地址改成刚才申请的那个地址目标进程在调用recv的时候就会调用到你的函数了搞得这个麻烦还不如直接用C++搞了可以参考《Windows核心编程》Hook api 章节