Inline Hook

1

jmp short 标号(1字节偏移量)

1

jmp short 0x05   ; 向后(Forward)跳转 5 个字节

1

EB XX   ; XX 是 1 字节的偏移量

1

jmp 标号(4字节偏移量)

1
2

jmp 0x12345678  ; 向后(Forward)跳转 0x12345678 个字节
# 注意！：0x12345678 是偏移量的值，只是看着像内存地址，实际”不是，不是，不是“程序的内存地址。

1

E9 XX XX XX XX  ; XX 是 4 字节的有符号偏移量（小端序存储）

1

jmp 寄存器 (如 rax/eax)

1
2

mov rax, 0x00007FF712345678
jmp rax   ; 直接跳转到 rax 存储的绝对地址

1

FF E0     ; jmp rax 的机器码

1
2
3

jmp far 属性:偏移地址
; 汇编示例
jmp 0x0008:0x12345678

1

jmp ptr [mem]  ; 这里的 mem 包含 6 字节（32位模式）或 10 字节（64位模式）数据

1

EA XX XX XX XX YY YY  ; EA 是操作码，后面跟 4 字节地址 + 2 字节段选择子

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46

#include <Windows.h>
#include <stdio.h>


void print_hello() {
	printf("Hello, World\n");
}

void hooked_function() {
	printf("Goodbye, World\n");
}

void install_hook1() {
	
	// 一般只定义5个字节，满足存储最小 jmp 指令大小即可
	// jmp_code = {0x00, 0x00, 0x00, 0x00, 0x00};
	unsigned char jmp_code[5] = { 0 };

	// jmp 指令，E9 操作码部分
	jmp_code[0] = 0xE9;

	// jmp 指令，标号(4字节偏移量)部分。
	// 公式参考：目标地址 = 当前指令地址 + JMP指令长度 + 偏移量
	// 公式转换：偏移量 = 目标地址 - (当前指令地址 + JMP指令长度)
	// 因为我们实现 Hook 的效果是当程序执行 print_hello() 函数的时候，触发执行目标函数(hooked_function)。那么我们就在刚好进入 print_hello() 函数，还未执行第一条语句的时候，实现跳转指令即可。此时的当前指令地址直接用 print_hello() 函数首地址即可。(在 C 语言中，函数名称就代表函数的地址)
	int offset = (int)hooked_function - (int(print_hello) + 5);
	// 偏移量赋值到 jmp_code 的标号(4字节偏移量)部分。
	*(int *)&jmp_code[1] = offset;

	// 修改内存页面的权限
	DWORD dwOldProctect = NULL;
	VirtualProtect(print_hello, 4096, PAGE_EXECUTE_READWRITE, &dwOldProctect);

	// 拷贝构造的 jmp 指令到函数 print_hello 首地址处，完成指令覆盖。
	memcpy(print_hello, jmp_code, 5);
}


int main() {

	install_hook1();
	print_hello();

	return 0;

}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45

#include <Windows.h>
#include <stdio.h>

// 直接从 VS 的MessageBoxA() 函数定义拿即可
int WINAPI HookMessageBoxA(_In_opt_ HWND hWnd, _In_opt_ LPCSTR lpText, _In_opt_ LPCSTR lpCaption, _In_ UINT uType) {

	printf("[+] %s:%s\n", lpCaption, lpText);
	return 0;

}


void install_hook2() {

	// 一般只定义5个字节，满足存储最小 jmp 指令大小即可
	// jmp_code = {0x00, 0x00, 0x00, 0x00, 0x00};
	unsigned char jmp_code[5] = { 0 };

	// jmp 指令，E9 操作码部分
	jmp_code[0] = 0xE9;

	// jmp 指令，标号(4字节偏移量)部分。
	// 公式参考：目标地址 = 当前指令地址 + JMP指令长度 + 偏移量
	// 公式转换：偏移量 = 目标地址 - (当前指令地址 + JMP指令长度)
	int offset = (int)HookMessageBoxA - (int(MessageBoxA) + 5);
	// 偏移量赋值到 jmp_code 的标号(4字节偏移量)部分。
	*(int *)&jmp_code[1] = offset;

	// 修改内存页面的权限
	DWORD dwOldProctect = NULL;
	VirtualProtect(MessageBoxA, 4096, PAGE_EXECUTE_READWRITE, &dwOldProctect);

	// 拷贝构造的 jmp 指令到函数 MessageBoxA 首地址处，完成指令覆盖。
	memcpy(MessageBoxA, jmp_code, 5);
}


int main() {

	install_hook2();
	MessageBoxA(NULL, "Test Tnformation", "Info", MB_OK);

	return 0;

}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43

#include <Windows.h>
#include <stdio.h>


int WINAPI HookMessageBoxA(_In_opt_ HWND hWnd, _In_opt_ LPCSTR lpText, _In_opt_ LPCSTR lpCaption, _In_ UINT uType) {

	printf("[+] %s:%s\n", lpCaption, lpText);
	return 0;

}

void install_hook(void *hooked_function, void *target) {

	// 一般只定义5个字节，满足存储最小 jmp 指令大小即可
	// jmp_code = {0x00, 0x00, 0x00, 0x00, 0x00};
	unsigned char jmp_code[5] = { 0 };

	// jmp 指令，E9 操作码部分
	jmp_code[0] = 0xE9;

	// jmp 指令，标号(4字节偏移量)部分。
	// 公式参考：目标地址 = 当前指令地址 + JMP指令长度 + 偏移量
	// 公式转换：偏移量 = 目标地址 - (当前指令地址 + JMP指令长度)
	int offset = (int)target - (int(hooked_function) + 5);
	// 偏移量赋值到 jmp_code 的标号(4字节偏移量)部分。
	*(int *)&jmp_code[1] = offset;

	// 修改内存页面的权限
	DWORD dwOldProctect = NULL;
	VirtualProtect(hooked_function, 4096, PAGE_EXECUTE_READWRITE, &dwOldProctect);

	// 拷贝构造的 jmp 指令到函数 MessageBoxA 首地址处，完成指令覆盖。
	memcpy(hooked_function, jmp_code, 5);
}

int main() {

	install_hook(MessageBoxA, HookMessageBoxA);
	MessageBoxA(NULL, "Test Tnformation", "Info", MB_OK);

	return 0;

}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

// 陷入死循环
int WINAPI HookMessageBoxA(_In_opt_ HWND hWnd, _In_opt_ LPCSTR lpText, _In_opt_ LPCSTR lpCaption, _In_ UINT uType) {

	printf("[+] %s:%s\n", lpCaption, lpText);
  
  // 调用原始函数 MessageBoxA
  MessageBoxA(NULL, "Test Tnformation", "Info", MB_OK);
  
	return 0;

}