进程动态拦截注入API HOOK

Love The Way You Lie 2022-01-27 08:51 345阅读 0赞

最近工作中遇到一个问题，需要通过程序界面进行判断程序的运行状态，刚开始认为很简单，不就是一个窗体控件获取，获取Button的状态和Text。[刚好去年干过该事情][Link 1]，就没太在意，就把优先级排到后面了，随着项目交付时间的临近，就准备开始解决问题，一下懵逼了，这次软件作者也聪明了，居然换了花样。  
\[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-eD8V3KNi-1614069739264)(![https://img-blog.csdnimg.cn/img\_convert/fa96cd95983a505b19a3b1ef12cbe72c.png][https_img-blog.csdnimg.cn_img_convert_fa96cd95983a505b19a3b1ef12cbe72c.png]\]  
)

从图中可以发现，此处的按钮上的文字等信息不是通过Button信息进行操作。静想猜测是通过Windows API直接将信息进行写入，那么哪个API可以进行写入呢，想想不难发现，其实就是窗口程序中在窗口中写入文字的方法**DrawText**，同时隐约记得**SetWindowsText**也具备该功能。既然有猜想了那就实践看看，验证下猜想。

开干之前，还需要理理思路：

1.  既然程序会调用**DrawText**方法，那我要获取文本，就必须截获到该方法
2.  截获方法不就是使用Windows上大名鼎鼎的\*\*钩子(Hook)\*\*函数。
3.  说到钩子函数，这又分**钩窗口消息**和**钩API函数**。对于本文来说当然就是后者了。实现API HOOK主要有两个重要环节：
    
     *  如何把代码注入到目标地址空间
     *  如何让自己的代码被调用
4.  稍稍查询下资料，发现钩窗口函数貌似就复杂了，如果要研究细节请[参考该文][Link 2]
5.  进一步资料查询，我发现以牛逼函数库（居然还是微软自己开发的）：**Detours**（当然我会提供[下载链接][Link 3]）Detours它用于实现拦截Win32二进制代码中的API函数。它使用一个JMP指令替换了目标函数的前面几个字节，使得控制直接调用实现的Detours函数。并通过一个trampoline函数保留了原来函数的功能调用。
6.  到目前为止就是对该库的使用了。从文档上来看应该没什么问题了。但是文档上是通过创建进程进行注入**DetourCreateProcessWithDll**，对目前我的应用场景就不太匹配了。客户程序一直处于运行状态，我需要获取动态注入，那么问题来了，如何解决了？

BOOL WINAPI DetourCreateProcessWithDll(LPCSTR lpApplicationName,
                                            LPSTR lpCommandLine,
                                            ...);

1.  能提出问题，基本上问题就解决了一般。果不然，通过百度和Google的不懈努力，终于发现原来**Detours1.5**版本中有个方法**DetourContinueProcessWithDll**该方法就是进行动态注入的，这下就可以开干了（至于Detours的原理本文就不再赘述，请大家自行查询资料，本文以解决实际问题问题主）

BOOL WINAPI DetourContinueProcessWithDll(HANDLE hProcess, LPCSTR lpDllName);

经过上面几个步骤下来，已经有了完整的思路，下文主要结合实践，进行代码实践。本文主要从如下几个方面进行时间：

*  首先，居然是要截取函数**DrawText**和**SetWindowText**那么首先的先实现自己的函数（通过DLL封装）
 *  然后，就是动态注入我们的DLL文件指定进程
 *  最后，拿出来溜溜（本文为了简便，仅将相关信息打印到**DebugView**中）

## 实现HookWindowTextDll ##

首先，按照**Detours**的编程规范，需要在加载**HookWindowTextDll**时通过方法**DetourFunctionWithTrampoline**进行注册。在卸载的时候通过**DetourRemove**卸载。

该处主要分以下几步：

1.  需要Hook的方法声明和实现
2.  安装和卸载注入方法

### Hook方法声明和实现 ###

首先需要声明我们的方法

BOOL WINAPI MySetWindowTextA( HWND hWnd, LPCTSTR lpString ); 
    BOOL WINAPI MySetWindowTextW( HWND hWnd, LPCWSTR lpString ); 
    
    int WINAPI MyDrawTextA( HDC hDC, LPCTSTR lpString, int nCount, LPRECT lpRect, UINT uFormat );
    int WINAPI MyDrawTextW( HDC hDC, LPCWSTR lpString, int nCount, LPRECT lpRect, UINT uFormat );
    
    //该方法主要是用Real_SetWindowTextA保存原来函数SetWindowTextA地址，方便后面调用
    DETOUR_TRAMPOLINE( BOOL WINAPI Real_SetWindowTextA( HWND a0, LPCTSTR a1 ), SetWindowTextA );
    DETOUR_TRAMPOLINE( BOOL WINAPI Real_SetWindowTextW( HWND a0, LPCWSTR a1 ), SetWindowTextW );
    
    DETOUR_TRAMPOLINE( int WINAPI Real_DrawTextA( HDC a0, LPCTSTR a1, int a2, LPRECT a3, UINT a4 ), DrawTextA );
    DETOUR_TRAMPOLINE( int WINAPI Real_DrawTextW( HDC a0, LPCWSTR a1, int a2, LPRECT a3, UINT a4 ), DrawTextW );
    
    //代码实现，限于篇幅，仅列出MySetWindowTextA
    BOOL WINAPI MySetWindowTextA( HWND hWnd, LPCTSTR lpString )
    {
    #ifdef _DEBUG
    	char strMsg[ 1024 ]=｛0｝;
    	wsprintf( strMsg, "SetWindowTextA : %s. size = %ld\n", lpString, strlen(lpString) );
    	OutputDebugString( strMsg );
    #endif
    
    	return Real_SetWindowTextA( hWnd, lpString );
    }

### Hook方法的安装和卸载 ###

BOOL APIENTRY DllMain( HANDLE hModule, 
    	DWORD  ul_reason_for_call, 
    	LPVOID lpReserved )
    {
    	if( DLL_PROCESS_ATTACH == ul_reason_for_call )//dll加载
    	{
    		InstallProbes();
    	}
    	else if( DLL_PROCESS_DETACH == ul_reason_for_call )//dll卸载
    	{
    		UninstallProbes();
    	}
    	else;
    
    	return TRUE;
    }

拦截注入通过方法**DetourFunctionWithTrampoline**进行，该方法原型如下：

BOOL  WINAPI DetourFunctionWithTrampoline(PBYTE pbTrampoline,
                                              PBYTE pbDetour);

这个函数有两个参数，pbTrampoline和一个指向pbDetour函数的指针。目标函数Target之所以没有作  
为一个参数，是因为它已经编码到pbTrampoline函数之中（上文中进行编码DETOUR\_TRAMPOLINE）。

BOOL InstallProbes()
    {
    	DetourFunctionWithTrampoline( (PBYTE)Real_SetWindowTextA, (PBYTE)MySetWindowTextA );
    	DetourFunctionWithTrampoline( (PBYTE)Real_SetWindowTextW, (PBYTE)MySetWindowTextW );
    
    	DetourFunctionWithTrampoline( (PBYTE)Real_DrawTextA, (PBYTE)MyDrawTextA );
    	DetourFunctionWithTrampoline( (PBYTE)Real_DrawTextW, (PBYTE)MyDrawTextW );
    
    	OutputDebugString("InstallProbesA ok.\n");
    	return TRUE;
    }
    
    BOOL UninstallProbes()
    {
    	DetourRemove( (PBYTE)Real_SetWindowTextA, (PBYTE)MySetWindowTextA );
    	DetourRemove( (PBYTE)Real_SetWindowTextW, (PBYTE)MySetWindowTextW );
    
    	OutputDebugString("UNInstallProbesB ok.\n");
    	return TRUE;
    }

至此拦截注入的方法就完成。下一小节就是如何进行动态注入了。

## 动态注入HookWindowTextDll ##

既然要动态注入，那么就先要看看动态注入方法**DetourContinueProcessWithDll**方法的使用方法

//把一个动态链接库注入到一个新的进程中
    BOOL WINAPI DetourContinueProcessWithDllA(HANDLE hProcess, LPCSTR lpDllName)

该方法有两个参数，一看看就明白了

*  hProcess：需要注入的原进程句柄
 *  lpDllName：需要注入的Dll路径，本文即**HookWindowTextDll.dll**

那么此时应该先获取进程句柄，获取进程句柄通过如下方法即可：

### 通过进程名称获取进程ID ###

DWORD	GetProcessIdFromProcessName(std::string processname)
    {
        
    	DWORD dwRet = 0;
    	PROCESSENTRY32 pe32;
    	pe32.dwSize = sizeof(pe32);
    	HANDLE hProcessSnap = ::CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    	if (hProcessSnap != INVALID_HANDLE_VALUE)
    	{
        
    		BOOL bMore = ::Process32First(hProcessSnap, &pe32);
    		while (bMore)
    		{
        
    			if (boost::iequals(pe32.szExeFile, processname))
    			{
        
    				dwRet = pe32.th32ProcessID;
                  	 break;
    			}
    			bMore = ::Process32Next(hProcessSnap, &pe32);
    		}
    		::CloseHandle(hProcessSnap);
    	}
    	return dwRet;
    }

调用测试：

std::string str1 = "WireCut.EXE";
    DWORD dwProcessId = GetProcessIdFromProcessName(str1);
    std::cout << dwProcessId << std::endl; //

获取到了进程，那就进入下一节，获取句柄。

### 通过进程ID获取进程句柄 ###

OpenProcess 函数用来打开一个已存在的进程对象，并返回进程的句柄

HANDLE OpenProcess(
    		DWORD dwDesiredAccess, 
    		BOOL bInheritHandle, 
    		DWORD dwProcessId
    );

**参数:**

*  dwDesiredAccess：想拥有的该进程访问权限
    
     *  PROCESS\_ALL\_ACCESS:所有能获得的权限
     *  PROCESS\_CREATE\_PROCESS:需要创建一个进程
     *  PROCESS\_CREATE\_THREAD:需要创建一个线程
     *  PROCESS\_DUP\_HANDLE:重复使用DuplicateHandle句柄
     *  PROCESS\_QUERY\_INFORMATION:获得进程信息的权限，如它的退出代码、优先级
     *  PROCESS\_SET\_INFORMATION :设置某些信息的权限，如进程优先级
     *  PROCESS\_SET\_QUOTA :设置内存限制的权限，使用SetProcessWorkingSetSize
     *  PROCESS\_SUSPEND\_RESUME :暂停或恢复进程的权限
     *  PROCES\_TERMINATE :终止一个进程的权限，使用TerminateProcess
     *  PROCESS\_VM\_OPERATION :操作进程内存空间的权限(可用VirtualProtectEx和WriteProcessMemory)
     *  PROCESS\_VM\_READ :读取进程内存空间的权限，可使用ReadProcessMemory
     *  PROCESS\_VM\_WRITE :读取进程内存空间的权限，可使用WriteProcessMemory
     *  SYNCHRONIZE :等待进程终止
 *  bInheritHandle：表示所得到的进程句柄是否可以被继承
 *  dwProcessId：被打开进程的PID

**返回类型:**

*  如成功，返回值为指定进程的句柄。
 *  如失败，返回值为NULL，可调用GetLastError()获得错误代码。

HANDLE GetProcessHandle(DWORD nID)
    {
    	//PROCESS_ALL_ACCESS 所有能获得的权限
    	return OpenProcess(PROCESS_ALL_ACCESS, FALSE, nID);
    }

DWORD dwProcessId = GetProcessIdFromProcessName("WireCut.EXE");
    if (dwProcessId != 0)
    {
    	bRet = DetourContinueProcessWithDllW(GetProcessHandle(dwProcessId), szDllFilePath);	
    }

\[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Ys9pdwbI-1614069690373)(http://ww1.sinaimg.cn/large/665db722gy1g3e735erzcj20jk06uq2x.jpg)\]

到此就完成了所有工作，项目代码和库文件见CSDN下载

欢迎关注交流共同进步  
\[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-rVvzm6YH-1614069690375)(![http://ww1.sinaimg.cn/large/665db722gy1frf76owwqjj2076076q3e.jpg][http_ww1.sinaimg.cn_large_665db722gy1frf76owwqjj2076076q3e.jpg]  
)\]  
博客地址：wqliceman.top

[Link 1]: http://wqliceman.top/2018/04/22/Windows%E7%AA%97%E4%BD%93%E6%95%B0%E6%8D%AE%E6%8A%93%E5%8F%96/
[https_img-blog.csdnimg.cn_img_convert_fa96cd95983a505b19a3b1ef12cbe72c.png]: /images/20220127/79755beb0e814f47930750be30586846.png
[Link 2]: https://blog.csdn.net/m0_37552052/article/details/81453591
[Link 3]: https://www.microsoft.com/en-us/download/details.aspx?id=52586
[http_ww1.sinaimg.cn_large_665db722gy1frf76owwqjj2076076q3e.jpg]: /images/20220127/95de5b0ec2094eeca9691055605caca9.png