简单的内存监视实现

简单的内存监视实现

前言：

　　前段时间学习了API HOOK，对这技术也略知一二，决定利用这技术实现个小功能。

以前有用过某工具，可以偷取别人外挂的功能地址，当时想想觉得挺不可思议的，如今了解API HOOK后，觉得这功能也就那样。

废话不多说，进入正题。

一、    HOOK WriteProcessMemory

首先看看WriteProcessMemory()原型:

BOOL WriteProcessMemory(

  HANDLEhProcess,               // handle to process

  LPVOIDlpBaseAddress,          // base of memory area

  LPVOIDlpBuffer,               // data buffer

  DWORDnSize,                   // number of bytes to write

  LPDWORDlpNumberOfBytesWritten // number of bytes written

);

如何实现呢？其实很简单，我们只需是获取hProcess/ lpBaseAddress/ nSize/ lpBuffer这四个参数。

我们定义一个结构体：

typedef struct HookData

     {

         HANDLE hProcess,               // handle to process

         LPVOID lpBaseAddress,          // base of memory area

         LPVOID lpBuffer,               // data buffer

         DWORD nSize,                   // number of bytes to write

 

     }HookData,*pHookData;

并定义一个全局变量HookData g_hookdata;

在我们自己的函数体里保存四个参数,然后返回原函数:

BOOL MyWriteProcessMemory(

                            HANDLE hProcess,               // handle to process

                            LPVOID lpBaseAddress,          // base of memory area

                            LPVOID lpBuffer,               // data buffer

                            DWORD nSize,                   // number of bytes to write

                            LPDWORD lpNumberOfBytesWritten // number of bytes written

                            )

{

     g_hookdata.hProcess = hProcess;

     g_hookdata.lpBaseAddress = lpBaseAddress;

     g_hookdata.lpBuffer = lpBuffer;

     g_hookdata.nSize =nSize;

     return WriteProcessMemory(hProcess,lpBaseAddress,lpBuffer,nSize,lpNumberOfBytesWritten);

}

获取这四个参数后，如何将这些数据取出来，我这里抛砖引玉，用一种笨方法，把数据以文件方式保存，然后外部程序读取：

BOOL SaveHookData(HANDLE hpro,pHookData phd)

{

     if (g_hookdata.hProcess != hpro)//判断是否对目标进程HOOK成功

         return FALSE;

 

     FILE *fp = fopen("hookdata","r+");

     if (!fp)

         return FALSE;      //打开文件失败

 

     if (!fwrite(phd,sizeof(HookData),sizeof(phd),fp))

     {

         fclose(fp);

         return FALSE;

     }

     fclose(fp);

     return TRUE;

}

 

BOOL TakeHookData(pHookData phd)

{

     FILE *fp = fopen("c:\hookdata","r+");

     if (!fp)

         return FALSE;      //打开文件失败

 

     if (!fread(phd,sizeof(HookData),1,fp))

     {

         fclose(fp);

         return FALSE;

     }

     fclose(fp);

     return TRUE;

}

二、HOOK ReadProcessMemory

         ReadProcessMemory()原型:

BOOL ReadProcessMemory(

  HANDLE hProcess,             // handle to the process

  LPCVOID lpBaseAddress,       // base of memory area

  LPVOID lpBuffer,             // data buffer

  DWORD nSize,                 // number of bytes to read

  LPDWORD lpNumberOfBytesRead  // number of bytes read

);

　　同HOOK WriteProcessMemory()类似，需要获取 hProcess/ lpBaseAddress/ nSize/ lpBuffer这四个参数，不过有一点不同，ReadProcessMemory()的lpBuffer参数不是在一开始就有数据。我们先看看ReadProcessMemory 的反汇编代码：

751A9982 >    8BFF          mov     edi, edi                                    ; 

751A9984   .  55            push    ebp

751A9985   .  8BEC          mov     ebp, esp

751A9987   .  8D45 14       lea     eax, dword ptr [ebp+14]

751A998A   . 50            push    eax                                         ;

751A998B   .  FF75 14       push    dword ptr [ebp+14]                          ;  地址

751A998E   .  FF75 10       push    dword ptr [ebp+10]                          ;  data buffer

751A9991   .  FF75 0C       push    dword ptr [ebp+C]                           ;  nSize

751A9994   .  FF75 08       push    dword ptr [ebp+8]                           ; 

751A9997   .  FF15 B4111A75 call    dword ptr [<&ntdll.NtReadVirtualMemory>]    ;  ntdll.ZwReadVirtualMemory

751A999D   .  8B4D 18       mov     ecx, dword ptr [ebp+18]

751A99A0   .  85C9          test    ecx, ecx

751A99A2   .  75 0F         jnz     short 751A99B3

751A99A4   >  85C0          test    eax, eax

751A99A6   .  0F8C 789E0100 jl      751C3824

751A99AC   .  33C0          xor     eax, eax

751A99AE   .  40            inc     eax

751A99AF   >  5D            pop     ebp

751A99B0   .  C2 1400       retn    14

751A99B3   >  8B55 14       mov     edx, dword ptr [ebp+14]                     ;  LPCVOID lpBaseAddress,       // base of memory area

751A99B6   .  8911          mov     dword ptr [ecx], edx                        ;  lpBuffer,             // data buffer

751A99B8   .^ EB EA         jmp     short 751A99A4

 

　　我们可以得出当程序执行到751A99B3才开始读取lpBaseAddress的值到lpBuffer，所以如果HOOK函数头，那么截取到的内容肯定为空。

那到底如何实现呢？其实有个很取巧的方法，我们同样HOOK函数头，截取lpBaseAddress参数后再自己手动将该地址的内容读取出来，用memcpy()函数就能实现。

实现方法与上面的HOOK WriteProcessMemory类似，没必要重复写了。

三、总结

　　相信看完篇文章，你可以揭开“偷取外挂功能地址”的神秘面纱。由于本人也是菜鸟，只能完成这些，代码没有经过测试，有什么地方有错误，可以给我留言，大家一起探讨，大神们看完可以指点指点。

　　本文所实现的方法对做了反监视、非远程内存读写式外挂无效，对于后者，只要弄清楚外挂的实现方式，理论上按照本方法，HOOK关键函数，是可以完成的。

JJHUANG

2013/8/28

 

 

 

标签: 内存监视、APIHOOK