4.1 应用层Hook挂钩原理分析

InlineHook 是一种计算机安全编程技术，其原理是在计算机程序执行期间进行拦截、修改、增强现有函数功能。它使用钩子函数（也可以称为回调函数）来截获程序执行的各种事件，并在事件发生前或后进行自定义处理，从而控制或增强程序行为。Hook技术常被用于系统加速、功能增强、等领域。本章将重点讲解Hook是如何实现的，并手动封装实现自己的Hook挂钩模板。
首先我们来探索一下Hook技术是如何实现的，如下图所示是一个简单的弹窗程序，当读者点击测试弹窗按钮时则会弹出一个MessageBox提示窗口，本次实现目标很简单，通过向目标内注入一个DLL库，实现Hook挂钩住MessageBox弹窗，从而实现去除弹窗的目的；

我们先来看看如何实现Hook思路；

• 1.调用GetModuleHandle函数来获取到user32.dll模块的基址
  
• 2.调用GetProcAddress函数获取到MessageBoxA弹窗的基址
  
• 3.调用VirtualProtect来修改MessageBoxA前5个字节内存属性
  
• 4.计算Dest - MsgBox - 5重定位跳转地址，并写入JMP跳转指令
  
• 5.计算Dest + Offset + 5 = MsgBox +5得到需要跳转回RET的位置
  
• 6.最后调用VirtualProtect来将内存属性修改为原始状态
  

我们载入带有MessageBoxA弹窗的程序,然后在x64dbg上按下Ctrl+G输入MessageBoxA找到我们需要Hook的位置（或者说替换），如下图所示为了完成弹窗转向功能，只需要在函数开头写入jmp无条件跳转指令即可，在32位系统中JMP指令默认占用5个字节，前三条指令恰好5个字节，为了能够保持堆栈平衡，我们需要记下前三条指令，并在自己的中转函数中对其进行补齐。

此外，我们还需要计算出程序的返回地址，使用0x76600BE5 - 0x76600BA0 = 0x45从而得出返回地址就是基址加上0x45，这里的返回地址其实就是返回到原MessageBoxA弹窗的RET 0x10的位置76600BE6，从这里可以看出屏蔽弹窗的原理就是通过中转函数跳过了原始弹窗函数的执行。
由于开头位置被替换为了我们自己的Transfer()函数，当程序中弹窗被调用时默认会路由到我们自己的函数内，首先执行补齐原函数的替换部分，并执行自定义功能区中的增加内容，当执行结束后则通过jmp ebx的方式跳转回原函数的ret 0x10的位置处，从而实现增加功能的目的。这里读者需要注意__declspec(naked)的意思是不添加任何的汇编修饰，当使用了此修饰符时则编译器会只编译我们自己的汇编指令，并不会增加默认的函数开场或离场原语。

1. __declspec(naked) void Transfer()
2. {
3.   __asm{
4.     mov edi, edi
5.     push ebp
6.     mov ebp, esp
7.     // 自定义功能区
8.     mov ebx, jump     // 取出跳转地址
9.     jmp ebx           // 无条件转向
10.   }
11. }

复制代码

通过应用上述案例中的知识点我们能很容易的实现对弹窗的替换功能，以下代码中实现了对MessageBoxA弹窗的屏蔽功能，也就是通过跳过弹窗实现流程实现的一种劫持方法，读者可自行编译这段DLL程序，但需要注意一点，读者在编译DLL时应该关闭DLL的DEP以及ASLR模式，否则会出现无法定位的问题。

1. #include <Windows.h>
2. #include <stdio.h>
4. DWORD jump = 0;
6. // 不添加任何的汇编修饰
7. __declspec(naked) void Transfer()
8. {
9.     __asm
10.     {
11.         mov edi, edi
12.         push ebp
13.         mov ebp, esp
14.         mov ebx, jump     // 取出跳转地址
15.         jmp ebx           // 无条件转向
16.     }
17. }
19. // DLL程序入口地址
20. bool APIENTRY DllMain(HANDLE handle, DWORD dword, LPVOID lpvoid)
21. {
22.     // 取进程内模块基址
23.     HMODULE hwnd = GetModuleHandle(TEXT("user32.dll"));
24.     DWORD base = (DWORD)GetProcAddress(hwnd, "MessageBoxA");
25.     DWORD oldProtect = 0;
27.     // 将内存设置为可读可写可执行状态,并将原属性保存在oldProtect方便恢复
28.     if (VirtualProtect((LPVOID)base, 5, PAGE_EXECUTE_READWRITE, &oldProtect))
29.     {
30.         DWORD value = (DWORD)Transfer - base - 5;    // 计算出需要Hook的地址
31.         jump = base + 0x45;                          // 计算出返回地址
33.         // 替换头部汇编代码
34.         __asm
35.         {
36.             mov eax, base
37.             mov byte ptr[eax], 0xe9        // e9 = jmp 指令机器码
38.             inc eax                        // 递增指针
39.             mov ebx, value                 // 需要跳转到的地址
40.             mov dword ptr[eax], ebx
41.         }
43.         // 恢复内存的原始属性
44.         VirtualProtect((LPVOID)base, 5, oldProtect, &oldProtect);
45.     }
46.     return true;
47. }

复制代码

读者可通过注入软件将hook.dll动态链接库注入到进程内，此时我们可以再次观察0x76600BA0位置处的代码片段，读者应该能看到已经被JMP替换，如下图所示；

继续跟进则读者能看到，在跳转指令的下方则是我们自己补齐的汇编指令，此处由于没有做任何事就被返回了，这就导致当读者再次点击弹窗时，弹窗失效；

当我们需要替换程序标题时同样可是使用该方式实现，一般来说程序设置标题会调用SetWindowTextA函数，我们可以拦截这个函数，并传入自定义的窗口名称，从而实现修改指定窗口的标题的目的，代码只是在上面代码的基础上稍微改一下就能实现效果，只要程序使用了该函数设置标题，则可以实现替换的目的；

1. #include <Windows.h>
2. #include <stdio.h>
4. DWORD jump = 0;
6. // 汇编中转函数
7. __declspec(naked) bool _stdcall Transfer(HWND hwnd, LPCSTR lpString)
8. {
9.     __asm
10.     {
11.         mov edi, edi
12.         push ebp
13.         mov ebp, esp
14.         mov ebx, jump
15.         jmp ebx
16.     }
17. }
19. // 自己的设置窗体标题函数
20. bool __stdcall MySetWindowTextA(HWND hwnd, LPCSTR lpString)
21. {
22.     char * lpText = "LyShark 修改版";
23.     return Transfer(hwnd, lpText);
24. }
26. // DLL程序入口地址
27. bool APIENTRY DllMain(HANDLE handle, DWORD dword, LPVOID lpvoid)
28. {
29.     HMODULE hwnd = GetModuleHandle(TEXT("user32.dll"));
30.     DWORD base = (DWORD)GetProcAddress(hwnd, "SetWindowTextA");
31.     DWORD oldProtect = 0;
33.     if (VirtualProtect((LPVOID)base, 5, PAGE_EXECUTE_READWRITE, &oldProtect))
34.     {
35.         DWORD value = (DWORD)MySetWindowTextA - base - 5;
36.         jump = base + 5;
37.         __asm
38.         {
39.             mov eax, base
40.             mov byte ptr[eax], 0xe9
41.             inc eax
42.             mov ebx, value
43.             mov dword ptr[eax], ebx
44.         }
45.         VirtualProtect((LPVOID)base, 5, oldProtect, &oldProtect);
46.     }
47.     return true;
48. }

复制代码

本文作者： 王瑞
本文链接： https://www.lyshark.com/post/f695c6c3.html
版权声明： 本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！