如何使用 DetourAttachEx 创建蹦床函数？ （有MS绕路）

Question

我有一个 dll，我希望绕道其导出函数之一，

• 该 dll 不是 Windows 的一部分。
• 我需要能够在绕道后调用真实函数（从绕道调用真实函数）
• 我知道该函数的确切签名。
• 我已经能够绕过该函数，但现在我无法调用真正的函数。

我意识到我需要使用蹦床功能，我在网上看到了例子。 问题是：所有这些示例都展示了如何绕过 Windows API 函数，我需要对通过 dll 导入获得的函数执行相同的操作。

欢迎任何帮助

--编辑 只是为了澄清一下，我尝试通过指针调用原始函数，但这不起作用。 的方法

还尝试使用此堆栈溢出 文章中 甚至没有崩溃，但看起来它进入了无限循环（我假设是因为在原始函数中存在跳转到绕道的函数）

编辑 - 解决了！ 不知道是什么解决了它， 使用此作为参考。

• 停止使用 getProcadder 并开始使用 DetourFindFunction 来
• 清理代码（很确定我清理了导致问题的任何内容）

有效， 无论如何，谢谢

Answer 1

我不使用弯路（我实际上讨厌它！），但绕道任何不可热修补的函数可以通过通用方式完成，如下所示：

步骤 1：
在函数开头插入 JMP，需要 5 个字节，可能需要多一点以与最近的指令对齐。例如，

要挂钩的函数的开头：

SUB ESP,3C
PUSH EDI
PUSH ESI
//more code

将变为：

JMP MyFunction
//more code

通过在第一个字节写入 0xE9 然后写入值 (function_addr - patch_addr + sizeof(INT_PTR))< /code> 在下面的 DWORD 中。使用 VirtualProtectEx 设置读/写/执行权限后，应使用 WriteProcessMemory 完成写入

步骤 2：
接下来，我们创建一个程序集接口：

void __declspec(naked) MyFunc()
{

    __asm
    {
        call Check             ;call out filter func
        test eax,eax           ; test if we let the call through
        je _EXIT
        sub esp,3c             ; its gone through, so we replicate what we overwrote
        push edi
        push esi
        jmp NextExecutionAddress ; now we jump back to the location just after our jump
    _EXIT:
        retn                   ; note, this must have the correct stack cleanup
    }

}

NextExecutionAddress 需要在运行时使用 ModuleBase + RVA 填充。

---

说实话，更简单，也更好（！），只需 EAT（导出地址表）挂钩 dll 的导出表，或者 IAT（导入地址表）挂钩调用您想要过滤的函数的导入表。 Detours 应该有这些类型的钩子的函数，如果没有，还有其他免费可用的库可以做到这一点。

另一种方法是使用 detour 来挂钩应用程序中的每个调用，使用 dll 将它们重新路由到您自己代码中的代理函数，这样做的优点是允许仅过滤某些调用，而不是二进制文件中的所有调用（可以使用 _ReturnAddress 执行相同的操作，但这需要更多工作），但缺点是捕获要修补的位置（我使用 ollydbg + 自定义修补引擎）并且它无法在非- 常规调用约定函数（例如在 Watcom 中使用 #pragma aux 进行的调用或由 VC7+ 生成的优化调用）。

需要注意的一件重要事情：如果您挂钩多线程应用程序，则需要在应用程序挂起的情况下完成修补程序，或者使用 InterlockedExchange、InterlockExchange64 和 以原子方式完成InterlockedExchangePointer（我对所有 IAT/EAT 挂钩使用后者，特别是从“第三方进程”挂钩时）

---

查看您链接到的帖子，我认为那里的方法很糟糕，主要是由于汇编:P 但是，你如何调用你获得的这个指针，它是如何获得的？