CApiHook__Api钩子类

见过网上有很多ApiHook的类,但是都不尽入人意,要么就是写的不够好不够完善,要么就是跑不起来.

用别人写的代码总是有种不安心,所以自己就花了一晚上写了CApiHook类.已经尽量确保自己写的类是非常完善的.

//20151208稍微改变了一下ApiHook的逻辑,重写GetApiHookStatus函数并重命名为GetProcHookStatus,

　　并且很认真负责的测试了WinXP x86/Win7 x86/Win7 x64/Win8.1 x64系统下的GetProcHookStatus有效性.

//20150728稍微改进了一下ApiHook的稳定性,和增加了一个检测系统Api Hook状态的函数GetApiHookStatus

//编写和测试环境: Microsoft Visual Studio 2015 Enterprise RC / Microsoft Windows 7 Ultimate x86

//    CApiHook, Last Code By gwsbhqt@163.com At 20151208

#pragma once

#ifndef __CAPIHOOK_H__
#define __CAPIHOOK_H__

#include <cstdio>
#include <windows.h>

using namespace std;

class CApiHook
{
private:
    BOOL bStatus;        //    当前钩子状态
    BOOL bSuspend;        //    当前钩子暂停状态
    HMODULE hModule;    //    目标函数所在的动态链接库的句柄
    LPVOID lpProc;        //    目标函数地址
    LPVOID lpBaseAddr;    //    目标函数基地址
    LPVOID lpNewProc;    //    新函数地址
    BYTE bRawData[5];    //    目标函数原数据
    BYTE bJMPStmt[5];    //    JMP指令语句
    
    BOOL WriteData(LPCVOID lpBuffer);    //    将缓冲区内容写入目标函数地址

public:
    CApiHook();
    ~CApiHook();

    BOOL Install(LPCSTR szModuleName, LPCSTR szProcName, FARPROC pNewProc);    //    初始化钩子
    BOOL Suspend();    //    暂停钩子
    BOOL Resume();    //    恢复钩子
    BOOL Uninstall();    //    卸载钩子

    BOOL GetHookStatus();
};

BOOL GetProcHookStatus(LPCSTR lpModuleName, LPCSTR lpProcName);    //    获取目标函数的钩子状态

#endif    //    __CAPIHOOK_H__

//    CApiHook, Last Code By gwsbhqt@163.com At 20151208

#include "CApiHook.h"

CApiHook::CApiHook()
{
    memset(this, 0, sizeof(CApiHook));
}

CApiHook::~CApiHook()
{
    if (bStatus)
        Uninstall();
}

//    将缓冲区内容写入目标函数地址
BOOL CApiHook::WriteData(LPCVOID lpBuffer)
{
    //    更改目标函数基地址的保护状态为可读写
    DWORD dwOldProtect;
    if (!VirtualProtectEx(GetCurrentProcess(), lpBaseAddr, 5, PAGE_READWRITE, &dwOldProtect))
        return FALSE;

    //    将缓冲区内容写入目标函数地址
    if (!WriteProcessMemory(GetCurrentProcess(), lpProc, lpBuffer, 5, NULL))
        return FALSE;

    //    恢复目标函数基地址的保护状态
    if (!VirtualProtectEx(GetCurrentProcess(), lpBaseAddr, 5, dwOldProtect, &dwOldProtect))
        return FALSE;

    return TRUE;
}

//    初始化钩子
BOOL CApiHook::Install(LPCSTR szModuleName, LPCSTR szProcName, FARPROC fpNewProc)
{
    if (bStatus)
        return FALSE;

    //    获取目标函数所在的动态链接库的句柄
    hModule = GetModuleHandleA(szModuleName);
    if (NULL == hModule)
        hModule = LoadLibraryA(szModuleName);
    if (NULL == hModule)
        return FALSE;

    lpNewProc = (LPVOID)fpNewProc;    //    获取新函数地址
    lpProc = (LPVOID)GetProcAddress(hModule, szProcName);    //    获取目标函数地址
    if (NULL == lpNewProc || NULL == lpProc)
        return FALSE;

    //    获取并保存目标函数地址的原数据
    RtlMoveMemory(bRawData, lpProc, 5);

    //    构造JMP指令语句
    bJMPStmt[0] = 0xE9;    //    JMP指令
    *((PDWORD)(&(bJMPStmt[1]))) = (DWORD)lpNewProc - (DWORD)lpProc - 5;

    //    获取目标函数基地址
    MEMORY_BASIC_INFORMATION mbi = {};
    if (sizeof(mbi) != VirtualQueryEx(GetCurrentProcess(), lpProc, &mbi, sizeof(mbi)))
        return FALSE;
    lpBaseAddr = mbi.BaseAddress;

    //    将JMP指令语句写入目标函数地址
    if (!WriteData(bJMPStmt))
        return FALSE;

    bStatus = TRUE;

    return TRUE;
}

//    暂停钩子
BOOL CApiHook::Suspend()
{
    if (!bStatus || bSuspend)
        return FALSE;

    //    将目标函数原数据写入目标函数地址
    BOOL ret = WriteData(bRawData);
    if (!ret)
        return FALSE;

    bSuspend = TRUE;

    return TRUE;
}

//    恢复钩子
BOOL CApiHook::Resume()
{
    if (!bStatus || !bSuspend)
        return FALSE;

    //    将JMP指令语句写入目标函数地址
    BOOL ret = WriteData(bJMPStmt);
    if (!ret)
        return FALSE;

    bSuspend = FALSE;

    return TRUE;
}

//    卸载钩子
BOOL CApiHook::Uninstall()
{
    if (!bStatus)
        return FALSE;

    //    将目标函数原数据写入目标函数地址
    if (!WriteData(bRawData))
        return FALSE;

    if (hModule != NULL)
        FreeLibrary(hModule);
    memset(this, 0, sizeof(*this));

    return TRUE;
}

BOOL CApiHook::GetHookStatus()
{
    return bStatus;
}

//    获取目标函数的钩子状态
//    该函数暂仅对在WinXPx86/Win7x86/Win7x64/Win8.1x64下的ntdll.dll/kernel32.dll/user32.dll负责
BOOL GetProcHookStatus(LPCSTR lpModuleName, LPCSTR lpProcName)
{
    //    获取目标函数所在的动态链接库的句柄
    HMODULE hModule = GetModuleHandleA(lpModuleName);
    if (hModule == NULL)
        hModule = LoadLibraryA(lpModuleName);
    if (hModule == NULL)
        return ERROR;

    //    获取目标函数的地址
    FARPROC fpProc = GetProcAddress(hModule, lpProcName);
    if (fpProc == NULL)
        return ERROR;

    //    获取目标函数地址的前7字节
    BYTE buf[7] = {};
    if (!ReadProcessMemory(GetCurrentProcess(), fpProc, &buf, 7, NULL))
        return ERROR;

    /*
    E9
    B8 XX XX XX XX FF E0

    例外
    E9 XX XX XX 00
    E9 XX XX XX FA
    E9 XX XX XX FC
    E9 XX XX XX FF
    E9 XX XX XX XX 90
    */

    //    判断前7字节是否存在JMP/MOV指令语句并排除例外
    if ((buf[0] == 0xB8 && buf[5] == 0xFF && buf[6] == 0xE0) ||
        (buf[0] == 0xE9 && buf[4] != 0x00 && buf[4] != 0xFA && buf[4] != 0xFC && buf[4] != 0xFF && buf[5] != 0x90))
        return TRUE;

    return FALSE;
}

#include <cstdio>
#include <windows.h>

#include "CApiHook.h"

CApiHook HookMessageBoxA;

int WINAPI NewMessageBoxA(HWND hWnd, LPCSTR lpText, LPCSTR lpCaption, UINT uType)
{
    printf("PAY ATTENTION!! FOUND CALLING : MessageBoxA(%d, \"%s\", \"%s\", %d)\n", hWnd, lpText, lpCaption, uType);

    char cText[MAX_PATH];
    strcpy(cText, lpText);
    strcat(cText, " [Hijack]");

    char cCaption[MAX_PATH];
    strcpy(cCaption, lpCaption);
    strcat(cCaption, " [Hijack]");

    HookMessageBoxA.Suspend();

    int ret = MessageBoxA(NULL, cText, cCaption, MB_ICONERROR);

    HookMessageBoxA.Resume();

    return ret;
}

int main()
{
    MessageBoxA(NULL, "Text1", "Caption1", MB_ICONINFORMATION);

    printf("MessageBoxA Hook Status: %s\n", GetApiHookStatus("User32.dll", "MessageBoxA") ? "YES" : "NO");
    HookMessageBoxA.Install("User32.dll", "MessageBoxA", (FARPROC)NewMessageBoxA);
    printf("MessageBoxA Hook Status: %s\n", GetApiHookStatus("User32.dll", "MessageBoxA") ? "YES" : "NO");

    MessageBoxA(NULL, "Text2", "Caption2", MB_ICONINFORMATION);

    printf("MessageBoxA Hook Status: %s\n", GetApiHookStatus("User32.dll", "MessageBoxA") ? "YES" : "NO");
    HookMessageBoxA.Uninstall();
    printf("MessageBoxA Hook Status: %s\n", GetApiHookStatus("User32.dll", "MessageBoxA") ? "YES" : "NO");

    MessageBoxA(NULL, "Text3", "Caption3", MB_ICONINFORMATION);

    system("pause > nul");
    return 0;
}