使用 detours 做 api hook

最新推荐文章于 2024-03-31 14:53:31 发布

kusey

最新推荐文章于 2024-03-31 14:53:31 发布

阅读量1.7k

点赞数

分类专栏： windows 文章标签： hook api dll winapi null path

本文链接：https://blog.youkuaiyun.com/kusey/article/details/6387852

版权

windows 专栏收录该内容

12 篇文章

订阅专栏

本文介绍了一个使用Detours库实现API Hook的实际案例。作者创建了一个DLL并成功将其注入到explorer.exe进程中，在Windows 2003环境下进行了测试。通过Hook Shell_NotifyIconW 函数，实现了对系统托盘图标操作的监控。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

第一次使用 detours 库，参照网上的代码做了一个 api hook 的 dll，并注入到 explorer.exe 中，在 win2003 下测试正常。

以下是 dll 代码：

#define DLL_EXPORT #include "use_detour.h" #include "../detour/detours.h" #include <stdio.h> #pragma comment( lib, "../detour/detoured.lib" ) #pragma comment( lib, "../detour/detours.lib" ) PROC g_proc = NULL; BOOL WINAPI myShellNotifyIconW ( DWORD dwMessage, PNOTIFYICONDATAW lpData ); // int WINAPI DllMain( HINSTANCE hInst, DWORD dwReason, LPVOID lpReserved ) { switch( dwReason ) { case DLL_PROCESS_ATTACH: OutputDebugString( "===== dll attach =====/n" ); if( !hook() ) { OutputDebugString( "===== hook failed ! =====/n" ); return FALSE; } else OutputDebugString( "===== hook succeeded ! =====/n" ); break; case DLL_PROCESS_DETACH: unhook(); OutputDebugString( "===== dll detach =====/n" ); break; } return TRUE; } BOOL DLLAPI hook() { HMODULE hMod = NULL; if( NULL != g_proc ) return FALSE; hMod = GetModuleHandle( "Shell32.dll" ); if( NULL == hMod ) { OutputDebugString( "===== GetModuleHandle failed ! =====/n" ); return FALSE; } g_proc = GetProcAddress( hMod, "Shell_NotifyIconW" ); if( NULL == g_proc ) { OutputDebugString( "===== GetProcAddress failed ! =====/n" ); return FALSE; } DetourTransactionBegin(); DetourUpdateThread( GetCurrentThread() ); DetourAttach( (PVOID*)&g_proc, myShellNotifyIconW ); return ( NO_ERROR == DetourTransactionCommit() ); } void DLLAPI unhook() { DetourTransactionBegin(); DetourUpdateThread( GetCurrentThread() ); DetourDetach( (PVOID*)&g_proc, myShellNotifyIconW ); DetourTransactionCommit(); g_proc = NULL; } BOOL WINAPI myShellNotifyIconW( DWORD dwMessage, PNOTIFYICONDATAW lpData ) { static char lpszText[MAX_PATH] = { 0 }; switch( dwMessage ) { case NIM_ADD: memset( lpszText, 0, sizeof(char) * MAX_PATH ); sprintf( lpszText, "===== NIM_ADD - 0x%08x =====/n", lpData->hWnd ); OutputDebugString( lpszText ); break; case NIM_DELETE: memset( lpszText, 0, sizeof(char) * MAX_PATH ); sprintf( lpszText, "===== NIM_DEL - 0x%08x =====/n", lpData->hWnd ); OutputDebugString( lpszText ); break; default: break; } return g_proc( dwMessage, lpData ); }