能力值：
( LV2，RANK：10 )
2 楼
所谓InlineHook就是改变API函数体的前几个字节，进而跳转到自己的函数
IATHook就是改变导入表里的函数地址
给你个Hook MeesageBox的例子
BOOL InlineHookMessageBox()
{
//生成新的跳转代码
BYTE szNew8Bytes[8] = {0xB8, 0x0F, 0x10, 0x40, 0x00, 0xFF, 0xE0};
memcpy(m_szNew8Bytes, szNew8Bytes, 8);
*(DWORD*)(m_szNew8Bytes + 1) = (DWORD)pfnHook;
//加载user32.dll模块，得到MessageBoxA的真实地址
HMODULE hMod = LoadLibrary(_T("user32.dll"));
if (hMod == NULL)
{
g_pfnReal = NULL;
return FALSE;
}
g_pfnReal = (PFUNMESSAGEBOX)GetProcAddress(hMod, "MessageBoxW");
if (g_pfnReal != NULL)
{
//MessageBoxA()的地址0x77d5058a
//printf("%x\n", g_pfnReal);
//修改原API函数的前8个字节，跳转到我们的自定义函数
DWORD dwOldProtect = 0;
MEMORY_BASIC_INFORMATION mbi;
VirtualQuery(g_pfnReal, &mbi, sizeof(mbi));
VirtualProtect(g_pfnReal, 8, PAGE_READWRITE, &dwOldProtect);
//保存原来的执行代码
memcpy(m_szOld8Bytes, g_pfnReal, 8);
//写入新的执行代码
WriteProcessMemory(GetCurrentProcess(), (void*)g_pfnReal, m_szNew8Bytes, sizeof(DWORD) * 2, NULL);
//恢复页面属性
VirtualProtect(g_pfnReal, 8, mbi.Protect, &dwOldProtect);//最后一个参数不能是0，否则出错
return true;
}
return FALSE;
}
BOOL UnInlineHookMessageBox()
{
if (g_pfnReal != NULL)
{
//恢复原API函数的前8个字节
DWORD dwOldProtect = 0;
MEMORY_BASIC_INFORMATION mbi;
VirtualQuery(g_pfnReal, &mbi, sizeof(mbi));
VirtualProtect(g_pfnReal, 8, PAGE_READWRITE, &dwOldProtect);
//写入原来的执行代码
WriteProcessMemory(GetCurrentProcess(), (void*)g_pfnReal, m_szOld8Bytes, sizeof(DWORD) * 2, NULL);
//恢复页面属性
VirtualProtect(g_pfnReal, 8, mbi.Protect, &dwOldProtect);//最后一个参数不能是0，否则出错
return TRUE;
}
return FALSE;
}
能力值：
( LV2，RANK：10 )
3 楼
多谢LS回答,大致流程我是知道的
能力值：
( LV2，RANK：10 )
4 楼
[QUOTE=野仔与狗;724954]多谢LS回答,大致流程我是知道的
能力值：
( LV2，RANK：10 )
5 楼
也就是这一句：*(DWORD*)(m_szNew8Bytes + 1) = (DWORD)pfnHook;
能力值：
( LV2，RANK：10 )
6 楼
没错是这个pfnHook的地址,关键是这个pfnHook怎么来的,在新函数的哪一个部分,是开头呢,还是有些偏移,我先第一个恭喜LS的换头像成功!
能力值：
( LV2，RANK：10 )
7 楼
直接jump过去，当然是开头了
能力值：
( LV2，RANK：10 )
8 楼
所以回到原来问的问题(ULONG)DetourMyObReferenceObjectByHandle-((ULONG)ObReferenceObjectByHandle+5);
能力值：
( LV2，RANK：10 )
9 楼
^费解啊,费解
能力值：
( LV4，RANK：50 )
10 楼
5字节Jmp是相对跳 要以当前地址为基础记算的
能力值：
( LV2，RANK：10 )
11 楼
ＬＳ的你还算好了，我都不理解是怎么算来的，Ａ函数－（Ｂ函数＋５）＝Ａ函数？
能力值：
( LV4，RANK：50 )
12 楼
已经说的很明白了
能力值：
( LV2，RANK：10 )
13 楼
就算地址是动态的也要个理由吧，不要嫌我罗嗦啊，人人都这样写，应该也有说法为什么这样写．
能力值：
( LV4，RANK：50 )
14 楼
钻牛角尖可不代表执着
能力值：
( LV2，RANK：10 )
15 楼
嗯,有道理,这个自动寻址应该怎么构造,能不能它的结构写一下,汇编代码即可,总不能在这里例子里我知道这样操作能构造一个自动寻址,在别的地方就瞎子鸡了.
能力值：
( LV2，RANK：10 )
16 楼
http://bbs.pediy.com/showthread.php?t=30746
能力值：
( LV2，RANK：10 )
17 楼
多谢啊，这样一说就明了了，太感谢了
