CHookApi类完成了Hook的核心工作后，我们需要让系统所有的进程加载我们的MainHookDll.Dll，从而对系统所有进程中的指定API进行拦截。我们的想法是，MainHookDll模块提供2个导出函数，HookAllProcesses和UnhookAllProcesses函数完成这个功能，当UserUI调用HookAllProcesses函数的时候，系统所有的进程将加载MainHookDll.Dll，在加载的同时让CHookApi类开始工作，对目标进程中的所有指定API的前5个字节进行替换。当调用UnhookAllProcesses函数的时候，系统所有的进程将卸载MainHookDll.Dll，从而取消对指定API的拦截。在HookAllProcesses和UnhookAllProcesses函数中实际上是列举当前系统的所有进程，并对所有进程进行相同的操作。所以我们可以再实现两个函数，用CHookApi类的静态成员InjectDll和EjectLib函数完成真正的功能，而HookAllProcesses和UnhookAllProcesses中实现列举系统进程并对所有进程调用InjectDll或EjectLib函数。我们使用远程线程来实现InjectDll和EjectLib函数。远程线程是指在当前进程中使目标进程启动一个线程。可以通过以下方法完成远程线程的调用。首先使用OpenProcess打开目标进程得到进程句柄，要启动远程线程最少需要用PROCESS_CREATE_THREAD,PROCESS_QUERY_INFORMATION,PROCESS_VM_OPERATION,PROCESS_VM_WRITE, and PROCESS_VM_READ权限打开目标进程（我们使用PROCESS_ALL_ACCESS）。然后调用VirtualAllocEx函数在目标进程中分配内存，使用WriteProcessMemory函数将当前进程中的线程函数的参数写入在目标进程分配的内存中，最后调用CreateRemoteThread函数使目标进程执行线程函数。(实现过程请参考源代码中的注释)。下面给出InjectDll函数的代码，该函数将指定的Dll文件注入到指定ID号的进程中。
int WINAPI CHookApi::InjectDll(DWORD dwProcessId, LPTSTR lpDllName)
{
PTHREAD_START_ROUTINE pfnRemote =(PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle("Kernel32"), "LoadLibraryA");
if(pfnRemote ==NULL)
return -1;
HANDLE hProcess =OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwProcessId);
if(hProcess ==NULL)
{
return -1;
}
int iMemSize = (int)strlen(lpDllName)+1;
void *pRemoteMem =VirtualAllocEx(hProcess, NULL, iMemSize, MEM_COMMIT, PAGE_READWRITE);
if(pRemoteMem ==NULL)
{
CloseHandle(hProcess);
return -1;
}
if (!WriteProcessMemory(hProcess, pRemoteMem, lpDllName, iMemSize,NULL))
{
VirtualFreeEx(hProcess, pRemoteMem, 0, MEM_RELEASE);
CloseHandle(hProcess);
return -1;
}
HANDLE hThread =CreateRemoteThread(hProcess, NULL, 0, pfnRemote, pRemoteMem, 0, NULL);
if(hThread ==NULL)
{
VirtualFreeEx(hProcess, pRemoteMem, 0, MEM_RELEASE);
CloseHandle(hProcess);
return -1;
}
WaitForSingleObject(hThread, INFINITE);
VirtualFreeEx(hProcess, pRemoteMem, 0, MEM_RELEASE);
CloseHandle(hProcess);
CloseHandle(hThread);
return 0;
}
函数一开始，指定了要被注入的线程函数的位置，在这里，我们的线程函数就是LoadLibraryA函数，远程线程中的线程函数应该是PTHREAD_START_ROUTINE类型的函数指针，该函数指针的声明如下：
typedef DWORD (*PTHREAD_START_ROUTINE)(LPVOID)
由声明可知，该函数是一个只有一个参数的，且返回值是DWORD类型的函数，而LoadLibraryA函数符合要求的，所以它可以直接作为远程线程的线程函数。当远程进程调用LoadLibraryA把我们的MainHookDll.Dll加载后，拦截工作就会自动进行。紧接着，用VirtualAllocEx函数在远程进程中开辟一块内存，开辟的内存的大小是MainHookDll的全路径名（注意最后的’\0’）。接着使用WriteProcessMemory函数将参数（即MainHookDll的全路径名）写入到刚刚开辟的远程进程中的地址空间。最后调用CreateRemoteThread函数启动远程线程。要注意的是，当线程结束后，要用VirtualFreeEx函数释放在远程进程内开辟的内存。
下面的代码列出了EjectLib函数，它是使系统当前进程卸载我们的MainHookDll文件：
int WINAPI CHookApi::EjectLib(DWORD dwProcessId, LPTSTR lpDllName)
{
// open the process
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS,FALSE,dwProcessId);
if(hProcess == NULL)
return -1;
// 枚举进程中的模块
HANDLE hModuleSnap = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, dwProcessId);
if(hModuleSnap == INVALID_HANDLE_VALUE)
{
CloseHandle(hProcess);
return -1;
}
MODULEENTRY32 me32;
me32.dwSize = sizeof(MODULEENTRY32);
BOOL bFound = FALSE;
HMODULE hmod = NULL;
if(Module32First(hModuleSnap, &me32))
{
do
{
if(strcmpi(me32.szModule,lpDllName) == 0)
{
hmod = me32.hModule;
bFound = TRUE;
}
}while(!bFound && Module32Next(hModuleSnap, &me32));
}
CloseHandle(hModuleSnap);
if(hmod == NULL)
{
// 没有指定的模块
CloseHandle(hProcess);
return 0;
}
// 创建远程线程
PTHREAD_START_ROUTINE pfnRemote =(PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle("Kernel32"),"FreeLibrary");
if(pfnRemote ==NULL)
{
CloseHandle(hProcess);
return -1;
}
HANDLE hThread =CreateRemoteThread(hProcess,NULL,0,pfnRemote,hmod,0,NULL);
if(hThread ==NULL)
{
CloseHandle(hProcess);
return -1;
}
WaitForSingleObject(hThread, INFINITE);
CloseHandle(hProcess);
CloseHandle(hThread);
return 0;
}
我们在函数中使用了Psapi中定义的函数列举指定进程中加载的模块，看看是否加载了我们的MainHookDll文件，如果加载了，那么使用FreeLibrary函数卸载它。
2.2.1.1.2《WINDOWS 核心编程》Jeffrer老大实现的方法，暂叫做IAT大法吧,这种方法在这里就不进行说明了，有兴趣的话去参考《Windows 核心编程》吧。
2.2.1.1.3 DLL替换大法
这种方法是工作量最大，难度最低的方法。我还用拦截ws2_32.dll中的recv函数为例。大家都知道，如果某个应用程序要调用recv接收信息，那么它一定要加载ws2_32.dll。那么，我们可以制作一个自己的dll，它和ws2_32.dll的导出函数完全一致，而ws2_32.dll则被改名为ws2_32_old.dll，在我们的dll中加载ws2_32_old.dll，并且其他函数都直接调用原来的ws2_32_old.dll中的函数，而对于我们感兴趣的函数则进行自己的处理。不过步推荐这种做法，因为可能会因为ws2_32.dll版本的升级而使你的MainHookDll模块不能使用。
---------------------------------
联系我(liutao_free@sohu.com)
