通用32位apihook函数(hook socket)

Posted 2020-08-08 iseaside

C++代码部分

typedef int(__stdcall *send_)(SOCKET , const char* , int , int );
typedef int(__stdcall *recv_)(SOCKET, const char*, int, int);
int __stdcall fake_send(SOCKET s, const char* buf, int len, int flags)
{
    return old_send(s, buf, len, flags);
}
int __stdcall fake_recv(SOCKET s, const char* buf, int len, int flags)
{
    int r = old_recv(s, buf, len, flags);
    return r;
}
void* hook_x86(const char* dll,const char* func,void* fake_addr)
{
    HINSTANCE hInst = ::GetModuleHandleA(dll);
    if (hInst == NULL)
        hInst = LoadLibraryA(dll);
    if (hInst == NULL)
        return NULL;
    char* p = (char*)::GetProcAddress(hInst, func);
    void* old = (void*)(p + 1);
    DWORD Old = 0;
    VirtualProtect(p - 10, 20, PAGE_EXECUTE_READWRITE, &Old);
    *p++ = 0xEB;
    *p = 0xF9;
    p -= 6;
    *p = 0xE9;
    DWORD* t = (DWORD*)++p;
    DWORD ta = (DWORD)fake_addr - ((DWORD)t - 1) - 5;
    *t = ta;
    VirtualProtect(p - 10, 20, Old, &Old);
    return old;
}
old_send = (send_)hook_x86("ws2_32.dll", "send", fake_send);
old_recv = (recv_)hook_x86("ws2_32.dll", "recv", fake_recv);

 E代码和截图部分

代码如下

.版本 2

.子程序 安装, 逻辑型, 公开, 安装APIHOOK
.参数 动态链接库路径, 文本型, , 欲截获的函数名所在动态链接库的路径
.参数 函数名, 文本型, , 欲截获的函数名
.参数 新函数地址, 整数型, , 回调子程序指针地址.可以用 到整数(子程序指针) 获得
.局部变量 模块句柄, 整数型

.如果真 (函数地址 ≠ 0)
返回 (真)
.如果真结束
模块句柄 ＝ _取模块句柄2 (动态链接库路径)
.如果真 (模块句柄 ＝ 0)
模块句柄 ＝ _装载DLL (动态链接库路径)
.如果真结束
.如果真 (模块句柄 ＝ 0)
返回 (假)
.如果真结束
函数地址 ＝ _取库函数地址 (模块句柄, 函数名) \' 获取API函数地址
.如果真 (函数地址 ＝ 0)
返回 (假)
.如果真结束
.如果真 (_修改内存属性1 (函数地址, 5, #PAGE_EXECUTE_READWRITE, 原保护值) ＝ 假)
返回 (假)
.如果真结束
原字节 ＝ 指针到字节集 (函数地址, 5) \' 保存API入口前5个字节
新字节 ＝ { 233 } ＋ 到字节集 (到整数 (新函数地址 － (函数地址 ＋ 5)))
写到内存 (新字节, 函数地址, 5) \' 修改API入口前5字节
原字节 ＝ 原字节 ＋ { 233, 0, 0, 0, 0 }
原地址 ＝ _取指针_字节集2 (原字节, 原字节, 0)
写到内存 (到整数 (函数地址 ＋ 5 － (原地址 ＋ 10)), 原地址 ＋ 6, 4)
_释放DLL (模块句柄)
返回 (真)