windows 下实现函数打桩：拦截API方式

最新推荐文章于 2024-01-17 17:57:10 发布

原创

最新推荐文章于 2024-01-17 17:57:10 发布 · 2.7k 阅读

5 ·

CC 4.0 BY-SA版权

文章标签：

#C++函数打桩windows #API拦截 #dll内存注入

本文介绍了在Windows环境下，如何利用C++进行函数打桩，包括拦截API的技术，涉及到VirtualQuery、VirtualProtect等关键函数的使用，并探讨了对库中API打桩的三种方案，涵盖类成员函数的地址转换。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

windows 下实现函数打桩：拦截API方式

最近因为工作需要，开始研究函数打桩的方法。由于不想对工程做过多的修改，于是放弃了使用Google gmock的想法。但是也足足困扰另外我一天一宿。经过奋战，终于有所收获。闲话少说，开始看看有什么方法。

一、基础准备

1. 函数调用的原理：通过函数名（函数的入口地址）对函数进行访问，假设我们能够改变函数首地址指向的内存的话，使其跳转到另一个函数去执行的话，那么就可以实现函数打桩了。

2. 方法：对函数首地址出写入一条汇编语言 jmp xxx (其中xxx是要跳转的相对地址）。

3. 令原函数为oldFun,新函数为newFun,那么打桩时函数跳转的相对地址 offset = newFun - oldFun - (我们制定的这条指令的大小)，此处为绝对跳转指令的长度=5。 jmp xxx一共6字节。

函数：

1. VirtualQuery

WINBASEAPI
SIZE_T
WINAPI
VirtualQuery(
    __in_opt LPCVOID lpAddress,   //所查内存地址
    __out_bcount_part(dwLength, return) PMEMORY_BASIC_INFORMATION lpBuffer,   //保存内存区域的buffer
    __in     SIZE_T dwLength                                                  //信息长度                                                
    );

该函数用于查询某一段内存区域的内存信息，事实VirtualQueryEx也可以使用。

2. VirtualProtect

WINBASEAPI
BOOL
WINAPI
VirtualProtect(
    __in  LPVOID lpAddress,
    __in  SIZE_T dwSize,
    __in  DWORD flNewProtect,
    __out PDWORD lpflOldProtect
    );

该函数用于修改指定内存区dwSize个字节的保护模式。

3. VirtualProtectEx

WINBASEAPI
BOOL
WINAPI
VirtualProtectEx(

最低0.47元/天解锁文章

200万优质内容无限畅学