C++ Function Hook(仅内存地址)

Question

我有一个内存地址，它是另一个程序(它的一个 dll)中函数的内存地址。我已经通过 DLL 注入(inject)加载到程序中。我已经有了 bass 地址，以及每次程序加载时函数的实际位置。所以，这不是问题。

我只想 Hook 那个位置，然后获取变量。我知道函数的伪代码。所以这不是问题。或者另一种很棒的方法是在该内存位置做一个断点并获取调试寄存器。

我找不到任何明确的例子。我也没有函数的“名称”，我只有内存地址。有什么方法可以只使用内存地址吗？大多数(如果不是所有的话)示例都让您使用函数的名称，而我没有。

如果有人能为我指明正确的方向以便我完成这项任务，我将不胜感激。它也可能会帮助很多其他可能有相同问题的人。

编辑:我还应该提一下，我不想用其他代码使我的程序过载，我真的只想要准系统，就像一辆带有卷起 window 的基本汽车。请不要给我豪华套餐。

Answer 1

您错过了最重要的部分，这是针对 32 位代码还是 64 位代码？无论如何，代码项目有一个很好的破旧和 lib here涵盖两者。

如果你想做这个“老派”，那么它可以很简单地完成:

首先，你需要找到你想要 Hook 的函数的虚拟地址(由于 ASLR，你不应该依赖它在同一个地方)，这通常是通过 RVA + 函数的模块基加载地址来完成的对于未导出的函数，您可以使用 GetProcAddress。

从那里开始，类型 Hook 取决于您想要完成的事情，在您的情况下，有两种方法:

1. 在目标函数的序言中修补跳转/调用您的函数
2. 将所有调用站点修补到您要 Hook 的函数，重定向到您的函数

第一个更简单，但比较困惑，因为它通常涉及一些内联汇编(除非你正在 Hook 一个 /HOTPATCH 二进制文件，或者你只是想 stub 它)，第二个更干净，但需要使用调试器进行一些工作。

您将跳转到的函数应该与您要挂接的函数具有相同的参数和调用约定 (ABI)，您可以在该函数中捕获传递的参数、操作它们、过滤调用或任何您想要的.

对于两者，您需要一种方法来编写一些程序集来进行修补，在 Windows 下，WriteProcessMemory 是您的第一个调用端口(注意:您需要 RWX 权限才能执行此操作，因此调用到 VirtualProtect)，这是一个创建 32 位相对调用或跳转的小实用函数(取决于作为 eType 传递的操作码)

#pragma pack(1)
struct patch_t
{
    BYTE nPatchType;
    DWORD dwAddress;
};
#pragma pack()

BOOL ApplyPatch(BYTE eType, DWORD dwAddress, const void* pTarget)
{
    DWORD dwOldValue, dwTemp;
    patch_t pWrite =
    {
        eType,
        (DWORD)pTarget - (dwAddress + sizeof(DWORD) + sizeof(BYTE))
    };

    VirtualProtect((LPVOID)dwAddress,sizeof(DWORD),PAGE_EXECUTE_READWRITE,&dwOldValue);
    BOOL bSuccess = WriteProcessMemory(GetCurrentProcess(),(LPVOID)dwAddress,&pWrite,sizeof(pWrite),NULL);
    VirtualProtect((LPVOID)dwAddress,sizeof(DWORD),dwOldValue,&dwTemp);
    return bSuccess;
}

此函数对方法 2 非常有效，但对于方法 1，您需要跳转到中间程序集蹦床以恢复补丁覆盖的所有代码，然后再返回原始函数，这变得非常乏味，这就是为什么最好只使用现有的和经过测试的库。

从它的声音来看，使用方法 1 并修补目标函数序言的跳转将满足您的需要，因为您似乎并不关心执行您修补的函数。

(还有第三种使用硬件断点的方法，但这非常脆弱，并且可能会出现问题，因为您只能使用 4 个硬件断点)。