inline hook 原理 教程

inline hook 原理&教程

2021年5月24日 qq: base64(MTcxMjgzNjQ0)

• <1> inline hook 是什么
• <2> inline hook 基本原理
• <3> inline hook 跳板函数
• <4> inline hook 线程安全
• <5> inline hook 推荐库
• <6> thiscall hook的方法
• <7> hook现有进程的其他事项

<1> inline hook 是什么

当我们想要拦截现有运行中的进程内某个现有的汇编函数体，最常用的办法就是 inline hook。

它可以在权限允许内，通过修改程序运行中的内存代码段汇编，以达到拦截任何函数的目的，包括系统api(只限非内核态的函数体,要hook内核函数需要进内核态)，以及程序内部现有的任何函数体。。

比如想拦截系统APICreateFileW的调用，修改原调用参数并继续执行CreateFileW原函数逻辑，获得返回值，或者直接拦截返回NULL失败，或者拦截程序本身代码汇编的函数体，用 inline hook都可以做到。

<2>inline hook 基本原理

在windows下，程序执行的时候会把dll和exe的代码段 text 以及其他数据整理后加载进内存，以顺序排列在指定的虚拟内存空间内。

xx.exe, 0xc80000
abseil_dll.dll, 0x6ca0000
AcLayers.dll, 0x7b9d0000
AddrSearch.dll, 0x46a0000
advapi32.dll, 0x75b80000
advapi32.dll.mui, 0x201b0000
Advertisement.dll, 0x1e560000
AdvVideoDev.dll, 0x7c930000
AFBase.dll, 0x3a80000
AFCtrl.dll, 0x7c9b0000
AFUtil.dll, 0x7c2b0000
AppCenter.dll, 0x7b9b0000
AppFramework.dll, 0x796f0000
...

其中，dll或者exe的内存空间首地址，被称为基地址，此时xx.exe的基地址就是0xc80000。

既然在内存内，那就意味着一个exe或者dll的代码段 text或者其他段的运行时数据是可能被修改的？

是的，windows下可以使用VirtualProtect函数，修改虚拟内存地址块的保护属性，标记为可读写。

请看下面的代码

<此代码只适用32位程序>

#include <Windows.h>
#include <iostream>

//构造了一个 参数 与原CreateFileA一样的的函数

HANDLE __stdcall MY_CreateFileA(
	LPCSTR lpFileName,
	DWORD dwDesiredAccess,
	DWORD dwShareMode,
	LPSECURITY_ATTRIBUTES lpSecurityAttributes,
	DWORD dwCreationDisposition,
	DWORD dwFlagsAndAttributes,
	HANDLE hTemplateFile) {

	printf("MY_CreateFileA: %s 
", lpFileName);
	return NULL;
}

int main()
{

	HANDLE hFile;
	printf("第一次调用CreateFileA 
");
	hFile = CreateFileA(
		"abc.txt",
		GENERIC_WRITE,
		0,
		NULL,
		CREATE_ALWAYS,
		FILE_ATTRIBUTE_NORMAL,
		NULL);

	if (hFile == NULL) {
		printf("hFile==NULL
");
	}
	else if (hFile != INVALID_HANDLE_VALUE) {
		printf("CreateFileA success
");
		CloseHandle(hFile);
	}


	//原CreateFileA的函数内存地址 或者直接用&CreateFileA
	char* target = (char*)GetProcAddress(GetModuleHandleA("Kernel32.dll"), "CreateFileA");

	//MY_CreateFileA的内存地址
	char* detour = (char*)&MY_CreateFileA;


	DWORD  oldProtect;

	//修改CreateFileA的内存地址块 5个大小为可读写
	if (!VirtualProtect(target, 5, PAGE_EXECUTE_READWRITE, &oldProtect)) {
		printf("VirtualProtect false
");
		return 0;
	}

	//0xe9为汇编代码jmp的二进制值
	unsigned char jmp_0xe9 = 0xE9;

	//这是一个jmp用的偏移地址，从CreateFileA位置跳转到MY_CreateFileA
	unsigned int jmp_addr = detour - (target + 5);

	//将target 原CreateFileA 的内存前五个 改写，覆盖为一个jmp指令，和一个jmp需要的偏移地址，刚好五个字节大小
	memcpy(target, &jmp_0xe9, 1);
	memcpy(target + 1, &jmp_addr, 4);

	//恢复原内存保护属性
	VirtualProtect(target, 5, oldProtect, &oldProtect);

	printf("第二次调用CreateFileA 
");
	hFile = CreateFileA(
		"abc.txt",
		GENERIC_WRITE,
		0,
		NULL,
		CREATE_ALWAYS,
		FILE_ATTRIBUTE_NORMAL,
		NULL);

	if (hFile == NULL) {
		printf("hFile==NULL
");
	}
	else if (hFile != INVALID_HANDLE_VALUE) {
		CloseHandle(hFile);
	}

	std::cout << "Hello World!
";
}

执行结果输出为

第一次调用CreateFileA
CreateFileA success
第二次调用CreateFileA
MY_CreateFileA: abc.txt
hFile==NULL
Hello World!

可以很明显的看到，第二次调用CreateFileA被拦截到MY_CreateFileA,并成功获取到了原调用参数！

这其中的原理就是，修改了CreateFileA前五个字节的汇编，覆盖为jmp 0x 0x 0x 0x, 四字节的0x 0x 0x 0x为MY_CreateFileA的函数地址！

[---原函数---]
[[ jmp 0x 0x 0x 0x ]-被修改的函数---](头五个字节汇编被覆盖)

当执行CreateFileA，就会执行jmp 指令，跳转到给定的函数地址，所以就跳转到了MY_CreateFileA。

0xE9 jmp的汇编之后的四个字节，是偏移的地址，通用公式为：要跳转的地址-(jmp下一行汇编的地址)，即detour - (target + 5)。

上面的代码完成了32位下对某一个函数的简单拦截。

思考几个问题？

1：为什么要一个参数和调用方式与原函数一样参数一样调用方式的MY_CreateFileA函数？

答：因为退栈的原则，CreateFileA是stdcall调用，参数全是push压栈，且，清理栈还原esp值责任也全在目标函数CreateFileA！所以，有一个参数与CreateFileA一样的函数，MY_CreateFileA正常退栈esp值，才能保证正常esp值，否则函数执行完,esp值并没有还原到 call CreateFileA之前的状态，造成程序错乱异常甚至崩溃！

2：为什么直接jmp到MY_CreateFileA能获取到参数？

答：因为call之后跳转到CreateFileA中途只有一个jmp,栈是传参后的原样没有改变，MY_CreateFileA和CreateFileA的调用方式都是__stdcall,所以MY_CreateFileA去获取参数的时候，就能获取到原本的传参。

3：MY_CreateFileA执行完成为什么会成功跳转到原来的调用代码？

答：原本执行的过程是 call CreateFileA -> 在CreateFileA函数结束ret。call 与 ret是成对工作的，call 会压栈一个ip地址，而ret会退栈一个值，并跳转到这个值地址，从而回到call的下一行汇编。当覆盖原CreateFileA前五个字节为jmp，并没有改变栈的状态，所以跳转到MY_CreateFileA，不仅能够获取到原本的参数，而且ret同样能跳转到原来call CreateFileA的代码ip位置。

思考这些汇编实现问题很重要，如果不能想通，就需要去补习函数调用增栈退栈和传参的实现原理。

现在已经完成了对某一个函数的拦截，那么如何成功的调用原函数呢？

<3>inline hook 跳板函数

原CreateFileA已被破坏了，因为前5个字节的汇编代码都被覆盖了。无法正常调用！

如何才能正常的调用原函数？

可以尝试这样

<此代码只适用于32位>

#include <Windows.h>
#include <iostream>

char backups_asm[5];

int __stdcall MY_MessageBoxA(
	HWND hWnd,
	LPCSTR lpText,
	LPCSTR lpCaption,
	UINT uType);

//拦截,并备份
void Intercept()
{
	char* target = (char*)&MessageBoxA;
	char* detour = (char*)&MY_MessageBoxA;

	DWORD  oldProtect;
	VirtualProtect(target, 5, PAGE_EXECUTE_READWRITE, &oldProtect);

	//----------------备份原来的5个字节------------------------------
	memcpy(backups_asm, target, 5);
	//----------------备份原来的5个字节------------------------------

	unsigned char jmp_0xe9 = 0xE9;//jmp
	unsigned int jmp_addr = detour - (target + 5);//jmp 地址

	//覆盖原函数5个字节为 jmp
	memcpy(target, &jmp_0xe9, 1);
	memcpy(target + 1, &jmp_addr, 4);

	VirtualProtect(target, 5, oldProtect, &oldProtect);
}

int __stdcall MY_MessageBoxA(
	HWND hWnd,
	LPCSTR lpText,
	LPCSTR lpCaption,
	UINT uType)
{
	printf("MY_MessageBoxA: %s 
", lpText);

	//------在这里通过备份恢复原函数------

	char* target = (char*)&MessageBoxA;
	DWORD  oldProtect;
	VirtualProtect(target, 5, PAGE_EXECUTE_READWRITE, &oldProtect);

	//----------------恢复原来的5个字节------------------------------
	memcpy(target, backups_asm, 5);
	//----------------恢复原来的5个字节------------------------------

	VirtualProtect(target, 5, oldProtect, &oldProtect);

	//继续调用原函数
	return MessageBoxA(hWnd, lpText, lpCaption, uType);
}

int main()
{
	Intercept();
	MessageBoxA(NULL, "this my text!", "title", MB_OK);
	std::cout << "end 
";
}

输出：

MY_MessageBoxA: this my text!
end

可以看到，MY_MessageBoxA已拦截到，同时也正确执行了MessageBoxA原函数。

但这种方式很别扭，每次都需要进行memcpy，不停改变代码段汇编，并不是线程安全的，不太实用。

有一种更好的办法，那就是创建一个跳板函数。

步骤如下，在虚拟内存内开辟一块可被执行的内存，将原函数的前5个字节复制到这里，然后在尾部再加上一个往原函数地址jmp，接着逻辑继续执行，如果执行到这个地址，那么先会执行备份的5个字节，然后jmp到原来函数的逻辑，就能成功调用原函数了。

开辟的新可执行内存空间 跳板函数()
{
备份复制原函数的5字节汇编
jmp 到原函数5字节之后位置
}

但这里有一个问题，汇编指令集不是一直为5个字节大小，有各种长度的，如果贸然只备份5个字节，可能会切断原本有的汇编指令，从而无法完整执行正常的代码段，造成程序崩溃。

所以，这里这里在备份原函数的时候，需要读取汇编指令，从而备份的一个大于5字节的完整汇编段。

还有一个问题，当备份汇编字节的汇编有各种跳转指令的时候，copy到跳板函数内存区域，这些偏移地址也要进行修改。 比如原函数 (0xe9)jmp 0x 0x 0x 0x相对跳转指令,复制到跳板函数的时候就需要重新计算跳转偏移。
需要进行修改的跳转指令大概有这些，call jmp jcc 等，当然如果是0xFF 0x25 jmp这样的绝对跳转，地址是不用变的。

如何获得完整的汇编指令大小和值，可以通过开源代码实现，hde32_disasm 或 hde64_disasm。

创建跳板Trampoline函数示例如下

<此代码只适用于32位>

#include <Windows.h>
#include <iostream>

#include "./hde/hde32.h"
#include <cassert>

typedef HANDLE(__stdcall* FN_PTR_CreateFileA)(
	LPCSTR lpFileName,
	DWORD dwDesiredAccess,
	DWORD dwShareMode,
	LPSECURITY_ATTRIBUTES lpSecurityAttributes,
	DWORD dwCreationDisposition,
	DWORD dwFlagsAndAttributes,
	HANDLE hTemplateFile);

FN_PTR_CreateFileA CreateFileATrampoline = NULL;

HANDLE __stdcall MY_CreateFileA(
	LPCSTR lpFileName,
	DWORD dwDesiredAccess,
	DWORD dwShareMode,
	LPSECURITY_ATTRIBUTES lpSecurityAttributes,
	DWORD dwCreationDisposition,
	DWORD dwFlagsAndAttributes,
	HANDLE hTemplateFile) {

	printf("MY_CreateFileA: %s 
", lpFileName);

	//执行原函数 跳板函数
	return CreateFileATrampoline(lpFileName,
		dwDesiredAccess,
		dwShareMode,
		lpSecurityAttributes,
		dwCreationDisposition,
		dwFlagsAndAttributes,
		hTemplateFile);
}

//将target前面第一条汇编改成 jmp跳转到detour，所需5个字节
void Hook(char* target, char* detour)
{

	DWORD  oldProtect;
	VirtualProtect(target, 5, PAGE_EXECUTE_READWRITE, &oldProtect);

	unsigned char jmp_0xe9 = 0xE9;//jmp
	unsigned int jmp_addr = detour - (target + 5);//jmp 地址

	memcpy(target, &jmp_0xe9, 1);
	memcpy(target + 1, &jmp_addr, 4);

	VirtualProtect(target, 5, oldProtect, &oldProtect);
}

//创建跳板函数，备份至少5字节汇编指令的完整汇编，并在末尾补充跳转到原函数
void* CreateTrampoline(char* target)
{
	DWORD  oldProtect;
	VirtualProtect(target, 5, PAGE_EXECUTE_READWRITE, &oldProtect);

	UINT  asm_size;
	hde32s hs;
	UINT  trampoline_size = 0;
	char* hde_target = target;

	//开辟一个足够大的空间 +5，是因为末尾还需要jmp指令，jmp到原函数
	char* TrampolineMem = (char*)VirtualAlloc(NULL, trampoline_size + 10 + 5,
		MEM_COMMIT, PAGE_EXECUTE_READWRITE);
	if (TrampolineMem == NULL) {
		printf("VirtualAlloc Error 
");
		exit(0);
	}

	do {
		//通过hde32_disasm 读取下一条完整汇编
		asm_size = hde32_disasm(hde_target, &hs);

		//备份一条汇编
		memcpy(TrampolineMem + trampoline_size, hde_target, asm_size);

		//当汇编指令是以下的相对偏移指令，需要重新修改偏移跳转值，此代码!未实现完整!!！
		if (hs.opcode == 0xE8) {
			printf("CALL 
");
			assert(false);
		}
		else if ((hs.opcode & 0xFD) == 0xE9) {
			printf("JMP (EB or E9) 
");
			if (hs.opcode == 0xe9) {
				uint32_t* jmp_addr = (uint32_t*)(TrampolineMem + trampoline_size + asm_size - 4);

				*jmp_addr = *jmp_addr + (hde_target + asm_size) - (TrampolineMem + trampoline_size + asm_size);

				printf("0xe9 地址修复 
");
			}
			else
				assert(false);

		}
		else if ((hs.opcode & 0xF0) == 0x70
			|| (hs.opcode & 0xFC) == 0xE0
			|| (hs.opcode2 & 0xF0) == 0x80) {
			printf(" Jcc 
");
			assert(false);
		}

		trampoline_size += asm_size;
		hde_target += asm_size;


	} while (trampoline_size < 5);//至少备份5个字节的汇编


	//已将大于5字节的汇编备份到TrampolineMem，然后在TrampolineMem末尾加jmp
	unsigned char jmp_0xe9 = 0xE9;//jmp
	unsigned int jmp_addr = (target + trampoline_size) - (TrampolineMem + trampoline_size + 5);//jmp 到原函数

	memcpy(TrampolineMem + trampoline_size, &jmp_0xe9, 1);
	memcpy(TrampolineMem + trampoline_size + 1, &jmp_addr, 4);

	VirtualProtect(target, 5, oldProtect, &oldProtect);

	return TrampolineMem;
};

typedef int(*FN_add)(int a, int b);
FN_add old_add = NULL;
int add(int a, int b)
{
	return a + b + 100;
}

int my_add(int a, int b)
{
	printf("add %d %d 
", a, b);
	return old_add(a + 1, b);
}

void main()
{

	//先在hook破坏原函数前创建跳板函数
	old_add = (FN_add)CreateTrampoline((char*)&add);
	Hook((char*)&add, (char*)&my_add);
	int x = add(1, 2);
	printf("add(1, 2) x : %d 
", x);


	//先在hook破坏原函数前创建跳板函数
	CreateFileATrampoline = (FN_PTR_CreateFileA)CreateTrampoline((char*)&CreateFileA);
	Hook((char*)&CreateFileA, (char*)&MY_CreateFileA);
	HANDLE hFile;
	hFile = CreateFileA("abc.txt",
		GENERIC_WRITE,
		0,
		NULL,
		CREATE_ALWAYS,
		FILE_ATTRIBUTE_NORMAL,
		NULL);

	if (hFile != INVALID_HANDLE_VALUE) {
		printf("CreateFileA success
");
		CloseHandle(hFile);
	}

	printf("end 
");
}

输出：

JMP (EB or E9)
0xe9 地址修复
add 1 2
add(1, 2) x : 104

MY_CreateFileA: abc.txt
CreateFileA success
end

<4>inline hook 线程安全

知道了hook原理和创建跳板函数的大概流程，但现在还有一个问题，那就是线程安全。

当hook时候，hook流程正在覆盖目标函数起始的几个汇编字节的时候，如果有其他线程正在执行这个函数，也恰好正在执行起始位置，贸然覆盖汇编代码，可能会造成程序崩溃！

解决方法：在附加hook的时候，暂停当前进程内 除当前线程外的其他所有线程，再继续执行附加hook的逻辑，附加hook完成之后，判断其他所有线程的eip，就是执行的代码地址，是否为目标函数的前几个覆盖的字节，如果是，需要把eip重新设置到跳板函数对应的位置。最后重新启动其他所有线程。

多线程下安全的 attach hook 步骤

1> 遍历当前进程的所有线程，暂停当前线程以外的所有线程。
(遍历所有线程可以用TH32CS_SNAPTHREAD，暂停线程函数为SuspendThread。）

2>执行attach hook流程。
(覆盖目标函数头jmp到detour函数。创建跳板函数。)

3>判断其他所有线程的执行的代码ip地址，如果正在执行目标函数，且恰好正在执行起始几个覆盖的汇编，则将此线程的ip地址重新设置到trampoline跳板函数对应的地址。
(获取线程ip地址的函数为GetThreadContext，32eip 64rip，重新设置为SetThreadContext)

4>恢复其他所有线程。
(ResumeThread)

卸载hook也需要线程安全，同样需要在detach hook前后暂停和恢复线程。但缺无法准确判断一个线程ip是不是正在执行hook代码段，因为有可能detour正在执行其他另外的函数。所以这是一个问题。只能尽可能的保证线程安全，稍晚一点释放跳板函数。

<5>inline hook 推荐库

要实现整个hook的流程，保证通用性和稳定性，这是一项不小的工作量，有两个推荐的开源库。

Detours

微软开源的库，支持x86/x64，arm。针对windows api适配得很好，同样也可以hook普通函数。有比较好的稳定性。

https://github.com/microsoft/Detours

使用流程&问题

	DetourRestoreAfterWith();
	DetourTransactionBegin();
	DetourSetIgnoreTooSmall(TRUE);

	DetourUpdateThread() 将某个线程加入休眠队列

	-----------开始执行-----------
	DetourAttachEx 创建hook

	DetourDetach 移除分离hook
	----------------------

	DetourTransactionCommit() 提交hook 并且会恢复由DetourUpdateThread休眠的线程

这里有个问题需要注意，

	DetourUpdateThread函数内部代码

    // Silently (and safely) drop any attempt to suspend our own thread.
    if (hThread == GetCurrentThread()) {
        return NO_ERROR;
    }

GetCurrentThread是一个伪句柄，由TH32CS_SNAPTHREAD得到的线程id再OpenThread，和这个伪句柄是对不上的。

所以你需要自己在外部过滤掉当前线程，不能把由OpenThread的当前线程HANDLE传进去！！也许这是一个bug吧。

	CreateToolhelp32Snapshot TH32CS_SNAPTHREAD 
	这里得到的线程是当前操作系统所有的线程！！无论传不传进程id都是。

	HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
	DWORD currentthreadid = GetCurrentThreadId();
	DWORD processid = GetCurrentProcessId();
    if (hSnapshot != INVALID_HANDLE_VALUE)
    {
        THREADENTRY32 te;
        te.dwSize = sizeof(THREADENTRY32);
        if (Thread32First(hSnapshot, &te))
        {
            do
            {
			if (processid == thread_entry32.th32OwnerProcessID
				&& currentthreadid != thread_entry32.th32ThreadID) {
					既是当前进程，又不是当前线程
					调用DetourUpdateThread(OpenThread);
				}
               
            } while (Thread32Next(hSnapshot, &te));
        }
        CloseHandle(hSnapshot);
    }

再推荐另外一个库，使用更便捷，api也简单易懂。不需要解决这个当前线程伪句柄的问题。

minhook 同样支持线程安全。支持x86/x64。个人推荐。

https://github.com/TsudaKageyu/minhook

MH_Initialize()

MH_CreateHook()

//启用hook，这里内部会暂停其它线程和恢复线程
MH_EnableHook()

MH_DisableHook()

MH_RemoveHook();

MH_Uninitialize()

当hook数量比较多的时候，最好用MH_ALL_HOOKS
MH_EnableHook(MH_ALL_HOOKS);
MH_DisableHook(MH_ALL_HOOKS);
这样不用每次单独一个hook执行MH_EnableHook都会暂停和恢复线程。

例子

#include "MinHook.h"
#if defined _M_X64
#pragma comment(lib, "libMinHook.x64.lib")
#elif defined _M_IX86
#pragma comment(lib, "libMinHook.x86.lib")
#endif

#include <iostream>

int Function(int x)
{
	x++;
	std::cout << "real function" << std::endl;
	return x;
}

typedef int (*FUNCTION)(int x);
FUNCTION fpFunction = NULL;

int DetourFunction(int x)
{
	x--;
	std::cout << "fake function" << std::endl;
	return x;
}

int main()
{
	int value = 0;
	if (MH_Initialize() != MH_OK) {
		return 1;
	}

	if (MH_CreateHook(&Function, &DetourFunction,
		reinterpret_cast<LPVOID*>(&fpFunction)) != MH_OK) {
		return 1;
	}

	if (MH_EnableHook(&Function) != MH_OK) {
		return 1;
	}

	value = Function(123);

	if (MH_DisableHook(&Function) != MH_OK) {
		return 1;
	}

	value = Function(123);

	if (MH_Uninitialize() != MH_OK) {
		return 1;
	}

	return 0;
}

<6> thiscall hook的方法

关于thiscall，就是c++的成员函数的调用方式，thiscall和__cdecl, __stdcall，很大不同，原因在于vc的thiscall会固定this参数在ecx寄存器。

如果构建一个thiscall or cdecl fake(void* this,...args)行不行呢？那肯定不行，因为this是ecx寄存器传参，这里的this却是thiscall用栈传参(64位用寄存器)，所以不能用c++语法的方式去写代码，要用汇编的角度去思考。

而且thiscall不能标注在普通非成员函数的方法上，所以最好去创建一个类成员函数的指针，当调用类成员函数的指针，就会自己处理this ecx 函数参数的相关流程。

class TestA
{
public:
	TestA() {}
	~TestA() {}

public:
	// 这是需要hook的函数
	void ClassMemberFunction(void* arg)
	{
		printf("%s  this = %p arg = %p
", __FUNCTION__, this, arg);
	}
};

class FakerClass;
typedef void(__thiscall* mfunc)(FakerClass*, void*);
mfunc org_mfunc = nullptr;

struct FakerClass
{
	// 这是拦截的伪函数
	void Mfunc(void* arg)
	{
		printf("%s  this = %p arg = %p
", __FUNCTION__, this, arg);
		//调用原函数
		org_mfunc(this, arg);
	}
};

int main(int argc, char** argv)
{
	MH_Initialize();

	//asMETHOD .ptr.f.func 的作用是获得成员函数的函数地址，当然你可以用其他方法去做

	auto f = asMETHOD(TestA, ClassMemberFunction);
	auto ff = asMETHOD(FakerClass, Mfunc);

	auto s = MH_CreateHook(f.ptr.f.func, ff.ptr.f.func,
		(void**)&org_mfunc);

	if (s == MH_OK){
		MH_EnableHook(MH_ALL_HOOKS);
	}

	TestA t;
	void* arg = (void*)0x88888;
	printf("t = %p
", &t);
	t.ClassMemberFunction(arg);

	return getchar();
}

t = 00F3FCEB
FakerClass::Mfunc  this = 00F3FCEB arg = 00088888
TestA::ClassMemberFunction  this = 00F3FCEB arg = 00088888

<7> hook现有进程的其他事项

当你需要对运行中的目标进程进行hook，你可能先需要知道目标函数的地址，这个地址应该是rva地址，就是相对于当前模块的偏移地址，rva地址+模块基地址=最终的函数在内存中的地址，因为模块在内存中的位置有可能每次启动都不一样，所以偏移地址+当前基地址才是正确的做法。

你还需要注入逻辑，把自己的代码dll，注入到目标程序，否则无法方便操作，当前篇幅不涉及。

<完> 2021年5月26日 qq: base64(MTcxMjgzNjQ0) 【转载请注明出处】。