如何挂钩一个exe函数？

Question

我需要从一个程序中得到一些东西。在 ollydbg 和 IDA 的帮助下，我发现我能得到的“东西”在一个名为 sub_HEXHEX 的函数中。

现在我知道如何从 Dll 中挂钩一个函数，例如 DrawTextA 或其他函数。 我需要获取函数地址

HMODULE hmod = LoadLibrary(L"User32.dll");
GetProcAddress(hmod, "DrawTextA")

但是当我需要挂钩这个sub_HEXHEX 时，我感到困惑。我可以得到那个 exe 的 HANDLE，我知道函数的地址（那个 0x00HEXHEX），但是没有 GetProcAddress 我可以使用。我尝试使用 HANDLE + 0x00HEXHEX 作为函数的地址，但我认为我对“偏移”的东西有误。

这就是我所做的

DWORD dwPid = GetCurrentProcessId();  
hProcess = OpenProcess(PROCESS_ALL_ACCESS, 0, dwPid);  
OldA2ECB0 = (sub_A2ECB0)((HMODULE)hProcess + 0xA2ECB0);  
pfOldA2ECB0 = (FARPROC)OldA2ECB0;

还有 sub_A2ECB0

typedef int(*sub_A2ECB0)(LPCSTR param1, int param2);

但 pfOldA2ECB0 将为 NULL。
我对 C++ 和 Win32（英语也是）的知识很差，所以这对我来说太难了。

Answer 1

据我了解，我相信我正确理解您想要的是内部挂钩。

我可以通过 3 个简单的步骤向您展示如何做到这一点。

这些是你必须了解的：

• IDA中显示的函数没有导出，因此不能使用GetProcAddress()
• 您必须在远程进程的上下文中才能挂钩内部函数
• 你不能使用像 Detours 这样的库，你必须有自己的钩子方法/函数

这些是您必须执行的步骤：

1. 使用远程进程的上下文，最简单的方法：注入您的 dll。
2. 从 IDA 获取地址偏移量，在您的情况下是 00A2ECB0。

3. 只需在远程进程中应用一次钩子：

   //0xE8指令为相对调用指令 SetCompleteHook(0xE8,0x00A2ECB0,&YOUR_OWN_FUNCTION);

助手：

void SetCompleteHook(BYTE head,DWORD offset,...)
{
    DWORD OldProtect;

    VirtualProtect((void*)offset,5,PAGE_EXECUTE_READWRITE,&OldProtect);

    if(head != 0xFF)
    {
        *(BYTE*)(offset) = head;
    }

    DWORD* function = &offset+1;

    *(DWORD*)(offset+1) = (*function)-(offset+5);

    VirtualProtect((void*)offset,5,OldProtect,&OldProtect);
}

就是这样，它在您的场景中尽可能简单明了。

您当然可以走得更远，执行更复杂的内部挂钩，但为了您的学习目的，这是一个巨大的进步和起点。

享受吧！