用 SEH 技术实现 API Hook

显示全部楼层 · 发表于 2008-9-28 16:37:47

阅读本文之前，我先假设读者已经知道了 SEH 和 API Hook 的基本概念，因为我不打算在此进行扫盲工作。什么？你不懂什么叫 SEH 和 API Hook ？那……先去找点资料看看吧，到处都有哦，推荐读物：Jeffrey Richter 大牛的《Windows核心编程》。（没话可说，研究系统底层编程的葵花宝典，必备！） 另外值得补充的是，API Hook 跟一般的 Hook 是一点关系都没有的，虽然它们都是“Hook”，但是在技术上却有着天壤之别。啊……不明白？先去看看葵花宝典吧…… 呵呵，废话不多说了，让我们开始吧。 经常研究 Crack 的朋友一定会知道 INT 3 这个指令。（你不知道？我倒……）这个指令在软件调试中非常有用，因为我们可以利用它来设置特定的断点（BreakPoint），当程序遇到 INT 3 指令的时候，将会产生一个断点异常，这个异常在 Windows.inc 里面定义为 EXCEPTION_BREAKPOINT ，对应值是 080000003h 。Hoho，说了那么多，你想到什么了吗？ 是的，聪明的你应该已经想到了！既然是异常，就肯定可以通过 SEH 来进行处理。于是我们可以这样做：在调用 API 之前，先设置一个断点，然后当 API 正式运行的时候，就会因为碰到 INT 3 指令而进入我们的异常处理模块，接着我们就可以在处理模块里面为所欲为了——是改变什么东西还是让它顺利通过，我没话说，看你喜欢吧…… 简单地说，过程就是类似这样的： 程序遇到 INT 3 指令后，产生一个中断异常，这时 Windows 就拿着一份处理异常的活挨个问 SEH 链表上的回调函数：“你干不干？”，“不干”，“你呢？”，“我也不干”……当 Windows 终于问到我们定义好的断点异常处理函数后，他说：“让我来干好了！”，于是 Windows 就不会再问余下的人了，他把全权托给了我们的处理函数，至于我们的函数在之后做了什么手脚……呵呵，只有天知道！ 明白了吗？其实在这里我们是利用了软件调试上的一个小技巧，实现了“伪 API Hook”。严格来说，这种方法不能算是真正的 API Hook ，但是由于我们可以在 SEH 回调函数中为所欲为，而系统不会发觉，所以也可以勉强算个数吧。 弄清楚原理后，剩下的就不难了。我们首先要保存目标 API 的入口地址，接着要设置一个 INT 3 指令，然后就在 SEH 的回调函数中进行地址修正等工作，最后万事倶备，只欠东风了。程序一运行，就进入了我们的 SEH 回调函数，呵呵，你爱怎么样就怎么样吧…… 怎么样？一点都不难吧。罗里罗嗦地说了一大堆，可能有人会开始不耐烦了……呵，别着急，下面我就给出源代码。补充一句：本方法只是提供了一种新的思路，如果你在深入研究中发现了我的错误，或者有更好的解决方法，请给我来信啊，我的邮箱：<A title=欢迎来信探讨！ href="mailto:lcother@163.net?subject=老罗，有关SEH实现API Hook的问题想跟你探讨。">mailto:lcother@163.net?subject=老罗，有关SEH实现API Hook的问题想跟你探讨。</A>。 （注意，本技术只能在 NT/2000/XP 平台下使用） 
<TABLE cellSpacing=0 cellPadding=0 bgColor=#fbedbb border=0>
<TBODY>
<TR>
<TD><A name=L1>;********************************************************* <A name=L2>;程序名称：用 SEH 技术实现 API Hook <A name=L3>;适用系统：Win NT/2000/XP <A name=L4>;作者：罗聪 <A name=L5>;日期：2002-11-22 <A name=L6>;出处：http://www.LuoCong.com（老罗的缤纷天地） <A name=L7>;注意事项：如欲转载，请保持本程序的完整，并注明： <A name=L8>;转载自“老罗的缤纷天地”（http://www.LuoCong.com） <A name=L9>;********************************************************* <A name=L10> <A name=L11>.386 <A name=L12>.model flat, stdcall <A name=L13>option casemap:none <A name=L14> <A name=L15>include \masm32\include\windows.inc <A name=L16>include \masm32\include\kernel32.inc <A name=L17>include \masm32\include\user32.inc <A name=L18>includelib \masm32\lib\kernel32.lib <A name=L19>includelib \masm32\lib\user32.lib <A name=L20> <A name=L21>WndProc         proto :DWORD, :DWORD, :DWORD, :DWORD <A name=L22>Error_Handler   proto :DWORD, :DWORD, :DWORD, :DWORD <A name=L23>SetHook         proto <A name=L24> <A name=L25>.const <A name=L26>IDI_LC                  equ 1 <A name=L27>IDC_CHECKBUTTON_HOOK    equ 3000 <A name=L28>IDC_BUTTON_ABOUT        equ 3001 <A name=L29>IDC_BUTTON_EXIT         equ 3002 <A name=L30> <A name=L31>.data <A name=L32>szDlgName               db  "lc_dialog", 0 <A name=L33>szMsgAbout              db  "-= SEH for API Hook =-", 13, 10, 13, 10,\ <A name=L34>                            "作者：罗聪(lcother@163.net)", 13, 10, 13, 10,\ <A name=L35>                            "老罗的缤纷天地", 13, 10,\ <A name=L36>                            "http://www.LuoCong.com", 13, 10, 0 <A name=L37>szMyText                db  13, 10, 13, 10, "（哈哈，看到有什么不同了吗？）", 0 <A name=L38>szMsgHooked             db  "MessageBoxIndirectA() has been hooked!",\ <A name=L39>                            13, 10, 13, 10,\ <A name=L40>                            "即将改变原来的 MessageBoxIndirectA() 的参数，", 13, 10,\ <A name=L41>                            "请注意后面的对话框跟没有 Hook 之前有什么不同……", 0 <A name=L42>szCaption               db  "SEH for API Hook by LC", 0 <A name=L43>szLibUser               db  "user32", 0 <A name=L44>szProcMsgBoxInd         db  "MessageBoxIndirectA", 0 <A name=L45>dwAddress               dd  0 <A name=L46>dwOldProtect            dd  0 <A name=L47>bOldByte                db  0 <A name=L48>dwRetAddr               dd  0 <A name=L49> <A name=L50>.data? <A name=L51>hInstance               HINSTANCE       ? <A name=L52>mbp                     MSGBOXPARAMS    <> <A name=L53>szText                  db  1024 dup(?) <A name=L54> <A name=L55>.code <A name=L56>main: <A name=L57>    ; 设置 SEH 链： <A name=L58>    assume  fs:nothing <A name=L59>    push    offset Error_Handler <A name=L60>    push    fs:[0] <A name=L61>    mov     fs:[0], esp <A name=L62> <A name=L63>    invoke  GetModuleHandle, NULL <A name=L64>    mov     hInstance, eax <A name=L65>    invoke  DialogBoxParam, hInstance, offset szDlgName, 0, WndProc, 0 <A name=L66> <A name=L67>    ; 恢复原来的 SEH 链： <A name=L68>    pop     fs:[0] <A name=L69>    pop     eax <A name=L70>    invoke  ExitProcess, 0 <A name=L71> <A name=L72>WndProc proc hWnd:HWND, uMsg:UINT, wParam:WPARAM, lParam:LPARAM <A name=L73>    .if uMsg == WM_CLOSE <A name=L74>        invoke EndDialog, hWnd, 0 <A name=L75> <A name=L76>    .elseif uMsg == WM_INITDIALOG <A name=L77>        mov eax, hWnd <A name=L78>        mov [mbp.hwndOwner], eax <A name=L79>        invoke LoadIcon, hInstance, IDI_LC <A name=L80>        invoke SendMessage, hWnd, WM_SETICON, ICON_SMALL, eax <A name=L81>        ; 储存 API 的原入口地址： <A name=L82>        invoke GetModuleHandle, addr szLibUser <A name=L83>        invoke GetProcAddress, eax, addr szProcMsgBoxInd <A name=L84>        mov [dwAddress], eax <A name=L85>        ; 保存原对话框的输出文字： <A name=L86>        invoke lstrcpy, addr szText, addr szMsgAbout <A name=L87> <A name=L88>    .elseif uMsg == WM_COMMAND <A name=L89>        mov eax, wParam <A name=L90>        mov edx, eax <A name=L91>        shr edx, 16 <A name=L92>        movzx eax, ax <A name=L93>        .if edx == BN_CLICKED <A name=L94>            .if eax == IDC_BUTTON_EXIT || eax == IDCANCEL <A name=L95>                invoke EndDialog, hWnd, NULL <A name=L96> <A name=L97>            .elseif eax == IDC_BUTTON_ABOUT || eax == IDOK <A name=L98>                mov [mbp.cbSize], sizeof mbp <A name=L99>                mov eax, hInstance <A name=L100>                mov [mbp.hInstance], eax <A name=L101>                mov [mbp.lpszText], offset szMsgAbout <A name=L102>                mov [mbp.lpszCaption], offset szCaption <A name=L103>                mov [mbp.dwStyle], MB_OK or MB_APPLMODAL or MB_USERICON <A name=L104>                mov [mbp.lpszIcon], IDI_LC <A name=L105>                invoke MessageBoxIndirect, addr mbp <A name=L106> <A name=L107>            .elseif eax == IDC_CHECKBUTTON_HOOK <A name=L108>                ; 把内存保护设置成可读/可写/可执行： <A name=L109>                invoke VirtualProtect, [dwAddress], 1, PAGE_EXECUTE_READWRITE, addr dwOldProtect <A name=L110>                invoke IsDlgButtonChecked, hWnd, IDC_CHECKBUTTON_HOOK <A name=L111>                mov edx, [dwAddress] <A name=L112>                test eax, eax <A name=L113>                .if zero?                                           ; uninstall hook <A name=L114>                    mov cl, [bOldByte]                              ; bOldByte = API 原入口地址 <A name=L115>                    mov byte ptr [edx], cl                          ; 恢复 API 的原入口地址 <A name=L116>                    invoke lstrcpy, addr szMsgAbout, addr szText    ; 恢复原对话框的输出文字： <A name=L117>                .else                                               ; re-install hook <A name=L118>                    mov cl, byte ptr [edx]                          ; byte ptr [edx] = API 原入口地址 <A name=L119>                    mov byte ptr [edx], 0CCh                        ; 断点异常（INT 3 指令） <A name=L120>                    mov [bOldByte], cl                              ; 储存 API 的原入口地址 <A name=L121>                    invoke lstrcat, addr szMsgAbout, addr szMyText  ; 改变原对话框的输出文字： <A name=L122>                .endif <A name=L123> <A name=L124>            .endif <A name=L125>        .endif <A name=L126>    .else <A name=L127>        mov eax, FALSE <A name=L128>        ret <A name=L129>    .endif <A name=L130>    mov eax, TRUE <A name=L131>    ret <A name=L132>WndProc endp <A name=L133> <A name=L134>;**************************************** <A name=L135>; 函数功能：处理异常错误 <A name=L136>;**************************************** <A name=L137>Error_Handler proc uses ecx lpExceptRecord:DWORD, lpFrame:DWORD, lpContext:DWORD, lpDispatch:DWORD <A name=L138>    ; 输出 "API hooked"： <A name=L139>    invoke  MessageBox, [mbp.hwndOwner], addr szMsgHooked, addr szCaption,\ <A name=L140>            MB_OK or MB_ICONINFORMATION <A name=L141> <A name=L142>    ; 储存并改变 SetHook 函数的返回值：（经过修正） <A name=L143>    ; （想不明白？呵呵，用调试器跟踪一下吧，我也说不清楚，只能意会不能言传……） <A name=L144>    mov eax, [lpContext] <A name=L145>    mov eax, [eax][CONTEXT.regEsp] <A name=L146>    mov ecx, [eax] <A name=L147>    mov [eax], offset SetHook <A name=L148>    mov [dwRetAddr], ecx <A name=L149> <A name=L150>    ; 把 API 原入口地址写回去，以便继续运行原 API： <A name=L151>    ; （跟踪一下吧，我实在是不知道怎么才能说得清楚……） <A name=L152>    mov eax, [dwAddress] <A name=L153>    mov cl, [bOldByte] <A name=L154>    mov byte ptr [eax], cl <A name=L155> <A name=L156>    ; 继续下一个 Execution： <A name=L157>    mov eax, ExceptionContinueExecution <A name=L158>    ret <A name=L159>Error_Handler endp <A name=L160> <A name=L161>;**************************************** <A name=L162>; 函数功能：设置 API Hook <A name=L163>;**************************************** <A name=L164>SetHook proc uses ecx <A name=L165>    mov eax, [dwAddress] <A name=L166>    mov cl, [eax] <A name=L167>    mov byte ptr [eax], 0CCh    ; 断点异常（INT 3 指令） <A name=L168>    mov [bOldByte], cl <A name=L169>    jmp [dwRetAddr]             ; 跳回经过 Hook 之后的 API 的返回地址（很重要！） <A name=L170>SetHook endp <A name=L171> <A name=L172>end main <A name=L173>;********************   over    ******************** <A name=L174>;by LC</A></TD></TR></TBODY></TABLE> 它的资源文件： 
<TABLE cellSpacing=0 cellPadding=0 bgColor=#fbedbb border=0>
<TBODY>
<TR>
<TD>#include "resource.h" #define IDI_LC              1 #define IDC_CHECKBOX_HOOK   3000 #define IDC_BUTTON_ABOUT    3001 #define IDC_BUTTON_EXIT     3002 #define IDC_STATIC          -1 IDI_LC  ICON    "lc.ico" LC_DIALOG DIALOGEX 10, 10, 200, 50 STYLE DS_SETFONT | DS_CENTER | WS_MINIMIZEBOX | WS_VISIBLE | WS_CAPTION | WS_SYSMENU CAPTION "SEH for API Hook by LC, 2002-11-22" FONT 8, "MS Sans Serif" BEGIN     AUTOCHECKBOX    "&Hook MessageBoxIndirectA", IDC_CHECKBOX_HOOK, 5, 5, 190, 12     PUSHBUTTON      "关于(&A)", IDC_BUTTON_ABOUT, 5, 30, 90, 14, BS_FLAT | BS_CENTER     PUSHBUTTON      "退出(&X)", IDC_BUTTON_EXIT, 105, 30, 90, 14, BS_FLAT | BS_CENTER END</TD></TR></TBODY></TABLE> 没啥特别的，仔细一想就明白了。

账号		自动登录	找回密码
密码			注册