Detours Hook

 

Detours Hook
Detours是 微软开发的一个函数库,主要用于动态Hook运行中的程序,其具体介绍参见http://research.microsoft.com/en-us/projects/detours/。
在游戏或外挂分析中,可以利用Detours库提供的接口来动态Hook任意地址,截获函数调用并输出打印信息。
Detours Hook的3个关键概念
要理解Detours Hook,必须先理解Detours中的3个关键概念。
Ø Target函数:即要Hook的目标函数或目标地址。
Ø Trampoline函数:即跳板函数,主要负责保存原始Target函数头的若条指令,并加上一个跳转指令以保持对原始Target函数调用的语义完整性。
Ø Detour函数:即截获Target函数的调用之后,所要执行的自定义函数。
在Detours Hook中,生成Trampoline函数与Target函数之间的关系如图6-10所示。
图6-10 Trampoline函数与Target函数的关系
从图6-10中可以看出,Trampoline函数是由Target函数头加jmp指令组成的。
Target函数、Detour函数以及Trampoline函数之间的关系如图6-11所示。
图6-11 Target函数、Detour函数和Trampoline函数间关系
从图6-11中可知,一旦Target函数被执行,程序将按照1→2→3,即Traget→Detour→Trampoline的顺序执行,最后再回到Target函数的执行过程。
Detours Hook引擎
Detours Hook引擎采用上面介绍的Detours Hook机制,经过精心的设计,使这个Hook引擎支持动态Hook几乎任意地址,以方便 管理,而不用为了Hook一个地址去 增加代码以及重新编译代码(注意:这里的“任意地址”在可以被修改的地址区域内)。
首先还是让我们看看如图6-12所示的这个引擎的概要设计,然后再详细介绍一下每一块的具体内容。
图6-12 Detours Hook引擎概要设计
如图6-12所示的Detours Hook引擎,从涉及的内存结构上看,主要由4个块组成,分别是JMP块、HOOK_INFO块、Trampoline块和HKC块,而从处理函数上看,主要由DispatchHook和ProcessHook组成。
具体细节见<<游戏外挂攻防艺术>>6.4节。
电子工业出版社出版

你可能感兴趣的:(游戏,安全,外挂)