基于API HOOK的软件行为分析系统

约定不等于承诺〃 2024-03-27 14:35 98阅读 0赞

基于API HOOK的软件行为分析系统

目录  
软件安全课程设计 1  
基于API HOOK的软件行为分析系统 1  
一、课程设计题目 1  
基于API HOOK的软件行为分析系统 1  
二、课程编码：130681 1  
三、学时学分 1  
四、先修课程 2  
五、课程设计任务与要求 2  
六、关键技术原理介绍 3  
Detours库原理 3  
(1) WIN32进程的内存管理 4

1.  进程要执行的指令也放在虚存空间中； 5  
    (2)拦截WIN32 API的原理 6  
    (3) Detours提供的截获API的相关接口 9  
    (4)使用Detours实现对API的截获的两种方法 11
2.  静态方法 11  
    (5)关于截获第三方应用的API 13  
    七、Win10环境中Detours API截获参考例子 13  
    (1)准备工作：使用VS2019编译Detours 13  
    nmake /f Makefile 14  
    (2) 准备工作：在VS上配置Detours库（使用Detours，采用dll注入的方式进行Hook） 14  
    (3)准备DLL 15  
    1）定义和引入需要挂钩（Hook）的函数和替换的函数 15  
    2）DLL主体实现参考代码 16  
    参考代码如图，阅读可以发现哪些函数被挂钩，请结合课程设计的要求，挂钩对应的函数。 16  
    (4)创建待注入的客户端程序 17  
    （5）完成开启和关闭注入的工具（注射器） 18  
    六、关键技术原理介绍  
    本课程设计采用微软的开源工具库Detours实现Windows API 截获（或称为绕道、挂钩）操作。Detours 是一个在x86平台上截获任意Win32函数调用的工具库。中断代码可以在运行时动态加载，也可以在静态执行文件处理。  
    Detours库原理  
    修改目标函数（一般为Windows API接口函数）：使用一个无条件转移指令来替换该目标函数的首部几条指令，将控制流直接转移到一个用户自己实现的截获函数（即Detour函数）。而原目标函数中被替换的指令被保存在一个被称为“Trampoline”函数中（译注：英文意为蹦床函数）。这些指令包括目标函数中被替换的代码以及一个重新跳转到目标 函数正确位置的无条件分支。截获函数可以替换目标函数，或者通过执行“Trampoline”函数时，将目标函数作为子程序来调用的办法，在保留原来目标函数功能基础上，来完成扩展功能。  
    因为截获函数（Detour函数）是执行时被插入到内存中目标函数的代码里，不是在硬盘上直接修改目标函数，所以，可以在一个很好的粒度上使得截获二进制函数的执行变得更容易。例如，一个应用程序执行时加载的 DLL中的函数过程，可以被插入一段截获代码（detoured），与此同时，这个DLL还可以被其他应用程序按正常情况执行（译注：也就是按照不被截获的方式执行，因为DLL二进制文件没有被修改，所以发生截获时不会影响其他进程空间加载这个DLL）。不同于DLL的重新链接或者静态重定向方式， Detours库中使用的这种中断技术，确保不会影响到应用程序中的方法或者系统代码对目标函数的定位。  
    如果其他人为了调试或者在内部使用其他系统检测手段而试图修改二进制代码，Detours将是一个可以普遍使用的开发包。Detours是第一个可以在任意平台上将未修改的目标代码作为一个可以通过“trampoline”调用的子程序来保留的开发包。而以前的系统，在逻辑上预先将截获代码放到目标代码中，而不是将原始的目标代码作为一个普通的子程序来调用。独特的“trampoline”设计对于扩展现有的软件的二进制代码是至关重要的。  
    出于使用基本的函数截获功能的目的， Detours同样提供了编辑任何DLL导入表的功能，达到向已存在的二进制代码中添加任意数据节表的目的，向一个新进程或者一个已经运行着的进程中注入一个DLL。一旦向一个进程注入了DLL，这个动态库就可以截获任何Win32函数，不论它是在应用程序中或者在系统库中。

#include <iostream>
    #include <stdlib.h>
    #include <windows.h>
    #include "detour/detours.h"
    
    using namespace std;
    
    #pragma comment(lib, "detour/detours.lib")
    
    wchar_t* fileName;//一个文件名最长为100个字符
    
    void char2wchar(const char* cchar)
    {
        
    	int len = MultiByteToWideChar(CP_ACP, 0, cchar, strlen(cchar), NULL, 0);
    	fileName = new wchar_t[len + 1];
    	MultiByteToWideChar(CP_ACP, 0, cchar, strlen(cchar), fileName, len);
    	fileName[len] = '\0';
    	return;
    }
    
    int main(int argc, char* argv[]) {
         //参数一：dll file ; 参数二：host file
    	
    	if (argc != 3) {
        
    		cout << "err!" << endl;
    		return 0;
    	}
    	
    	char2wchar(argv[2]);
    
    	STARTUPINFO si;
    	PROCESS_INFORMATION pi;
    
    	ZeroMemory(&si, sizeof(si));
    	ZeroMemory(&pi, sizeof(pi));
    	si.cb = sizeof(si);
    
    	//LPCSTR dllName[] = { "testDll.dll" };
    	LPCSTR dllName[] = {
         argv[1] };
    
    	//在同一目录下,将dllTest.dll注入到宿主程序testProgram.exe中
    	if (DetourCreateProcessWithDllsW(fileName, NULL, NULL, NULL, FALSE,
    		CREATE_SUSPENDED, NULL, NULL, &si, &pi, 1, dllName, NULL))
    	{
        
    		//W后缀代表是unicode编码,因此字符串前应该加上L
    		//MessageBoxW(NULL, L"Inject succeed!", L"inject", NULL);
    		cout << "Hooking succeed!\n";
    		ResumeThread(pi.hThread);
    	}
    	CloseHandle(pi.hThread);
    	CloseHandle(pi.hProcess);
    	return 0;
    }

![在这里插入图片描述][a0bd92f944434097aa56db750bf913c7.png_pic_center]  
![在这里插入图片描述][6c4dd216efed4b87b2a51e7e5b4798ed.png_pic_center]  
![在这里插入图片描述][c0bdaa811bfc4920b07ce6be23359503.png_pic_center]  
![在这里插入图片描述][e878f3cec38043c6b0fd93ae0d894ffc.png_pic_center]  
![在这里插入图片描述][5974e956ae3548c49c64cfd62fc2d1b3.png_pic_center]  
![在这里插入图片描述][d0e3999b69f54182b4a080cdbba75c53.png_pic_center]  
![在这里插入图片描述][f02fee26478544df9134b8f14ce87a6b.png_pic_center]  
![在这里插入图片描述][1cf6642b08d94e60a3d3b531dc2c6271.png_pic_center]  
![在这里插入图片描述][138b5a87e3c04dd48ab65794391a47b1.png_pic_center]  
![在这里插入图片描述][1a062069e8614dc9b550239ad25eb9d5.png_pic_center]  
![在这里插入图片描述][638d6d8b9a104118a5d2bf5802c9ce5c.png_pic_center]  
![在这里插入图片描述][805d9b7f0c2c4902be851c1b334b6361.png_pic_center]  
![在这里插入图片描述][80f3fc9c4d664ab3a6f2502acf0036c7.png_pic_center]  
![在这里插入图片描述][78f2404add1b49198a3948b7f2ac8752.png_pic_center]  
![在这里插入图片描述][8a1245b64a364ae6b5e467d13fa9c784.png_pic_center]  
![在这里插入图片描述][e65d62eb7ecc4a52b67747eb2738100e.png_pic_center]  
![在这里插入图片描述][646114174acd49f0a903c7eccb06f0c8.png_pic_center]

[a0bd92f944434097aa56db750bf913c7.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/b28f5c734e974a549858870bb726dff7.png
[6c4dd216efed4b87b2a51e7e5b4798ed.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/794f9dcbe8e0413391be4d1a5321fef9.png
[c0bdaa811bfc4920b07ce6be23359503.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/e9833bce87bf42539cf589ef5c3db07a.png
[e878f3cec38043c6b0fd93ae0d894ffc.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/b96a80a7224a47b6bc9e099032207d18.png
[5974e956ae3548c49c64cfd62fc2d1b3.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/75d68b7f4a674e558df9e195b720dfee.png
[d0e3999b69f54182b4a080cdbba75c53.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/7ebebe9091d549708849add606c7e574.png
[f02fee26478544df9134b8f14ce87a6b.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/099fff0cd0064d00b690d34622f02477.png
[1cf6642b08d94e60a3d3b531dc2c6271.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/955938f3b3d04a0eafb9fb9b4e044a10.png
[138b5a87e3c04dd48ab65794391a47b1.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/de8513114e8a44bf845667b21c768791.png
[1a062069e8614dc9b550239ad25eb9d5.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/3856d7abc88041d8ab84a82c1df886e3.png
[638d6d8b9a104118a5d2bf5802c9ce5c.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/69d4de481ee0415f87600fd005cbf7e7.png
[805d9b7f0c2c4902be851c1b334b6361.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/a4cd3b17904b4a2a9f0ea6a8858f81b7.png
[80f3fc9c4d664ab3a6f2502acf0036c7.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/89f1bdd5c5f541d98c8847f069ae7ba4.png
[78f2404add1b49198a3948b7f2ac8752.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/f3a3a89099244cacbc61783e8dde320d.png
[8a1245b64a364ae6b5e467d13fa9c784.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/1c447f6b2ee34fb4bc2a3bbcd06d3263.png
[e65d62eb7ecc4a52b67747eb2738100e.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/b0e1a950c5c44a41bfbeae6f3b87b5d9.png
[646114174acd49f0a903c7eccb06f0c8.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/54205251f811450c8e39dae5219b3691.png