Hook导入表 —— 实现挂钩FreeLibaray和HOOK延迟加载模块的API

Hook导入表 —— 实现挂钩FreeLibaray和HOOK延迟加载模块的API

Hook导入表 —— 实现挂钩FreeLibaray和HOOK延迟加载模块的API 
　　最近在研究Windows Ring3上的API Hook，对HOOK导入表这种方法进行了研究。HOOK导入表所用的C ++ 类大同小异，不同的就是如何实现HOOK一个延迟加载的模块中的函数，以及FreeLibaray某个函数之后再次LoadLibaray加载这个模块所导致的模块基地址不同的时候，如果HOOK住这个模块中的API。
　　显然地，挂钩LoadLibarayA / W、LoadLibarayExA / W、GetProcAddress这些函数还不够，还需要挂钩FreeLibrary函数。这里我参考了《Windows核心编程》（第五版）中的一个程序，封装了一个C ++ 类，能够HOOK住FreeLibrary，同时也能解决延迟加载的问题。
　　以下是这个类的声明：


CApiHook类声明
#ifndef __API_HOOK_CLASS__
#define  __API_HOOK_CLASS__

/**/ ///////////////////////////////////////////////////////////////////////////////


class  CApiHook
{
public:
    
    CApiHook();

    // 构造函数 —— 在所有模块中HOOK函数pszFuncName，将其替换为pfnHook
    CApiHook(PSTR pszCalleeModName, PSTR pszFuncName, PROC pfnHook);

    // 析构
    ~CApiHook();

    // 返回原来的函数地址
    operator PROC()
    {
        return m_pfnOrig;    // 返回原函数地址
    }

    // 是否挂钩本模块中的函数
    static BOOL ExcludeAPIHookMod; 


public:
    // GetProcAddressRaw调用实际的GetProcAddress函数
    static FARPROC WINAPI GetProcAddressRaw(HMODULE hmod, PCSTR pszProcName);
    
    BOOL WINAPI HookApi(PSTR pszCalleeModName, PSTR pszFuncName, PROC pfnHook);    // HOOK某个函数
    void WINAPI UnHook();        // 撤销挂钩

protected:
    void WINAPI Init();
    void WINAPI Uninit();

private:
    static PVOID sm_pvMaxAppAddr;
    static PROC  sm_pFunFreeLibrary;    // FreeLibrary的实际地址

    static CApiHook * sm_pHead;        // 对象链表头节点
    CApiHook * m_pNext;                // 下一个对象节点

    PCSTR m_pszCalleeModName;        // 要HOOK函数所在的模块名称（ANSI）
    PCSTR m_pszFuncName;            // 要HOOK的函数的函数名（ANSI）
    PROC m_pfnOrig;                    // 函数原地址
    PROC m_pfnHook;                    // HOOK替换函数的地址
    HMODULE m_hMod;                    // 模块句柄

private:
    // 在一个模块的导入节区挂钩一个函数
    static BOOL WINAPI ReplaceIATEntryInAllMods(PCSTR pszCalleeModName, 
                                                PROC pfnOrig, PROC pfnHook);

    // 在所有模块的导入节区挂钩一个函数
    static void WINAPI ReplaceIATEntryInOneMod(PCSTR pszCalleeModName, 
        PROC pfnOrig, PROC pfnHook, HMODULE hmodCaller);

    // 在某个模块的导出节区挂钩一个函数
    static void WINAPI ReplaceEATEntryInOneMod(HMODULE hmod, PCSTR pszFunctionName, PROC pfnNew);

private:
    // 当一个DLL被新加载的时候使用该函数HOOK一个函数
    static void WINAPI FixupNewlyLoadedModule(PCSTR pszModName, HMODULE hmod, DWORD dwFlags);

    // 当一个DLL调用FreeLibaray等函数卸载某个模块时，调用此函数
    static BOOL WINAPI FixupNewlyUnLoadModule(HMODULE hmod);

    // 一些替换函数
    static HMODULE WINAPI LoadLibraryA_Hook(PCSTR pszModulePath);
    static HMODULE WINAPI LoadLibraryW_Hook(PCWSTR pszModulePath);
    static HMODULE WINAPI LoadLibraryExA_Hook(PCSTR pszModulePath, 
        HANDLE hFile, DWORD dwFlags);
    static HMODULE WINAPI LoadLibraryExW_Hook(PCWSTR pszModulePath, 
        HANDLE hFile, DWORD dwFlags);
    static FARPROC WINAPI GetProcAddress_Hook(HMODULE hmod, PCSTR pszProcName);
    static BOOL WINAPI FreeLibrary_Hook(HMODULE hLibModule);

private:
    // 挂钩某些特殊函数的CApiHook对象
    static CApiHook sm_LoadLibraryA;    // 挂钩LoadLibryraA函数的CApiHook对象
    static CApiHook sm_LoadLibraryW;    // 挂钩LoadLibryraW函数的CApiHook对象
    static CApiHook sm_LoadLibraryExA;    // 挂钩LoadLibryraExA函数的CApiHook对象
    static CApiHook sm_LoadLibraryExW;    // 挂钩LoadLibryraExW函数的CApiHook对象
    static CApiHook sm_GetProcAddress;    // 挂钩GetProcAddress函数的CApiHook对象
    static CApiHook sm_FreeLibrary;        // 挂钩FreeLibrary函数的CApiHook对象
} ;


/**/ //////////////////////////////// End of File //////////////////////////////////

#endif      //  __API_HOOK_CLASS__
 

　　想必其中某些函数不需要说了，需要说明的是FreeLibaray_Hook函数，这个函数是FreeLibaray的替换函数，通过sm_FreeLibrary对象进行HOOK。
　　开始写这个函数的时候，遇到了困难，理由是这样的，因为如果这段代码作为DLL注入到目标进程中去，如果通过钩子的方法注入到目标进程中时，那么卸载钩子时，会引发目标进程调用FreeLibaray来释放这个DLL，此时会调用FreeLibaray_Hook函数，哪怕在这个函数的最后“ return  ::FreeLibaray(hLibModule)”，也会出现问题。因为这个函数会产生了C / C ++ 运行时的框架代码，就会在返回之后调用一些框架代码，比如调用C ++ 类的析构函数之类，而此时该模块已经从目标进程中卸载，这必然会导致内存访问违规。因此，必须如下定义该函数：


__declspec(naked) BOOL WINAPI CApiHook::FreeLibrary_Hook(HMODULE hLibModule)
　　这样，VC编译器就不会对CApiHook::FreeLibaray_Hook函数产生一些框架代码，就需要自己写内联汇编来维持堆栈的平衡。这里给出这个函数的定义：
CApiHook::FreeLibrary_Hook
__declspec(naked) BOOL WINAPI CApiHook::FreeLibrary_Hook(HMODULE hLibModule)
{
    __asm
    {
        push ebp;
        mov ebp, esp;
        pushad;
        push dword ptr[FreeLibrary_Hook];
        call dword ptr[ModuleFromAddress];
        cmp [ebp + 8], eax;        ; [ebp + 8]中是参数模块句柄的值
        jne NotMe;
        mov eax, sm_pHead;
Next:
        cmp eax, NULL;
        je    CallTrue;
        mov edx, [eax].m_pNext;
        push edx;
        push eax;        ; 这里相当于压入this指针
        call UnHook;    ; 相当于调用[eax].UnHook
        pop eax;
        jmp    Next;
CallTrue:
        popad;
        pop ebp;
        jmp dword ptr[sm_pFunFreeLibrary];    ; 如果是卸载本模块，则可能是其他程序调用，需要跳转到真正的FreeLibaray函数的地址

        ; 不是卸载的本模块
NotMe:
        push [ebp + 8];
        call FixupNewlyUnLoadModule;    ; 不是本模块卸载，则调用修正的FreeLibrary函数

        popad;
        pop ebp;
        mov eax, TRUE;
        ret 4;
    }
}
　　这里给出CApiHook类的完整定义：

 

CApiHook类和一些辅助函数的定义
#include  < windows.h >
#include  < ImageHlp.h >
#pragma comment(lib,  " ImageHlp " )

#include  " APIHook.h "
#include  < tlhelp32.h >

/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////


//  从指定地址得到包含该地址的模块句柄
static  HMODULE WINAPI ModuleFromAddress(PVOID pv)
{
    MEMORY_BASIC_INFORMATION mbi;
    return((VirtualQuery(pv, &mbi, sizeof(mbi)) != 0) 
        ? (HMODULE) mbi.AllocationBase : NULL);
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  异常过滤函数
LONG WINAPI InvalidReadExceptionFilter(PEXCEPTION_POINTERS pep)
{
    LONG lDisposition = EXCEPTION_EXECUTE_HANDLER;
    return lDisposition;
}

/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

CApiHook *  CApiHook::sm_pHead  =  NULL;     //  CApiHook对象链表头结点

BOOL CApiHook::ExcludeAPIHookMod  =  TRUE;     //  是否排除HOOK本模块的函数

PROC CApiHook::sm_pFunFreeLibrary  =  NULL;     //  FreeLibrary的内存中的地址


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  构造函数
CApiHook::CApiHook()
{
    if (sm_pFunFreeLibrary == NULL)
    {
        sm_pFunFreeLibrary = GetProcAddressRaw(GetModuleHandleW(L"Kernel32.dll"), "FreeLibrary");
    }

    // 前插一个结点
    m_pNext  = sm_pHead;
    sm_pHead = this;
    Init();        // 初始化
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  构造函数
CApiHook::CApiHook(PSTR pszCalleeModName, PSTR pszFuncName, PROC pfnHook)
{
    if (sm_pFunFreeLibrary == NULL)
    {
        sm_pFunFreeLibrary = GetProcAddressRaw(GetModuleHandleW(L"Kernel32.dll"), "FreeLibrary");
    }
    // 前插一个结点
    m_pNext = sm_pHead;
    sm_pHead = this;
    HookApi(pszCalleeModName, pszFuncName, pfnHook);    // 挂钩某个API函数
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////


CApiHook:: ~ CApiHook()
{
    // 从链表中删除本节点
    CApiHook * p = sm_pHead;
    if (p == this)
    {
        sm_pHead = p->m_pNext; 
    }
    else
    {
        BOOL bFound = FALSE;

        for (; p->m_pNext != NULL; p = p->m_pNext)
        {
            if (p->m_pNext == this)
            { 
                p->m_pNext = p->m_pNext->m_pNext; 
                break;
            }
        }
    }
    UnHook();        // 撤销挂钩
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

void  CApiHook::Init()
{
    m_hMod = NULL;
    m_pszCalleeModName = NULL;
    m_pszFuncName = NULL;
    m_pfnOrig = NULL;
    m_pfnHook = NULL;
}

/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

void  CApiHook::Uninit()
{
    // 这里不把模块名、函数名和替换函数地址设置为NULL，防止重复加载
    m_hMod = NULL;
    m_pfnOrig = NULL;
}

/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  本函数不能为inline类型 —— 得到函数的实际地址
FARPROC WINAPI CApiHook::GetProcAddressRaw(HMODULE hmod, PCSTR pszProcName)
{
    return(::GetProcAddress(hmod, pszProcName));    // 得到函数的真实地址
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  在某个模块中HOOK某个API函数 —— 重要
BOOL WINAPI CApiHook::HookApi(PSTR pszCalleeModName, PSTR pszFuncName, PROC pfnHook)
{
    if (m_pszCalleeModName != NULL)
        UnHook();

    // 得到HOOK信息
    m_hMod = GetModuleHandleA(pszCalleeModName);    // 得到模块句柄
    m_pszCalleeModName = pszCalleeModName;
    m_pszFuncName = pszFuncName;
    m_pfnHook = pfnHook;    // 替换函数地址
    if (m_hMod)
        m_pfnOrig = GetProcAddressRaw(m_hMod, m_pszFuncName);    // 原函数地址

    // 如果原函数地址为NULL，可能是因为模块并没有加载（比如延迟加载DLL就会出现该问题）
    if (m_pfnOrig == NULL)
    {
#ifdef _DEBUG
        wchar_t szPathname[MAX_PATH];
        GetModuleFileNameW(NULL, szPathname, _countof(szPathname));
        wchar_t sz[1024];
        wsprintfW(sz, L"[%4u - %s] impossible to find %S\r\n", 
            GetCurrentProcessId(), szPathname, pszFuncName);
        OutputDebugString(sz);
#endif
        return FALSE;
    }

#ifdef _DEBUG
    // This section was used for debugging sessions when Explorer died as 
    // a folder content was requested
    // 
    //static BOOL s_bFirstTime = TRUE;
    //if (s_bFirstTime)
    //{
    //   s_bFirstTime = FALSE;

    //   wchar_t szPathname[MAX_PATH];
    //   GetModuleFileNameW(NULL, szPathname, _countof(szPathname));
    //   wchar_t* pszExeFile = wcsrchr(szPathname, L'\\') + 1;
    //   OutputDebugStringW(L"Injected in ");
    //   OutputDebugStringW(pszExeFile);
    //   if (_wcsicmp(pszExeFile, L"Explorer.EXE") == 0)
    //   {
    //      DebugBreak();
    //   }
    //   OutputDebugStringW(L"\n   --> ");
    //   wsprintfW(szPathname, L"%S", pszFuncName);
    //   OutputDebugStringW(szPathname);
    //   OutputDebugStringW(L"\n");
    //}
#endif

    // HOOK某个函数
    ReplaceIATEntryInAllMods(m_pszCalleeModName, m_pfnOrig, m_pfnHook);
    return TRUE;
}

/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  撤销挂钩
void  WINAPI CApiHook::UnHook()
{
    if (m_pfnHook == NULL)
        return;

    // 撤销挂钩 —— 将函数地址复原
    ReplaceIATEntryInAllMods(m_pszCalleeModName, m_pfnHook, m_pfnOrig);

    Uninit();
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  将本进程中所有模块的IAT中的指定函数地址pfnCurrent替换为pfnNew
BOOL CApiHook::ReplaceIATEntryInAllMods(PCSTR pszCalleeModName, 
                                        PROC pfnCurrent, PROC pfnNew)
{
    if (pszCalleeModName == NULL || pfnCurrent == NULL || pfnNew == NULL)
        return FALSE;

    // 得到当前模块（即包含这段代码的模块）
    HMODULE hmodThisMod = ExcludeAPIHookMod 
        ? ModuleFromAddress(ReplaceIATEntryInAllMods) : NULL;

    // 得到本进程中的模块列表
    HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, GetCurrentProcessId());
    if (hSnapshot == INVALID_HANDLE_VALUE)
        return FALSE;


    MODULEENTRY32 me = { sizeof(me) };

    for (BOOL bOk = Module32First(hSnapshot, &me); bOk; bOk = Module32Next(hSnapshot, &me))
    {
        // 不替换当前模块的函数
        if (me.hModule != hmodThisMod)
        {
            ReplaceIATEntryInOneMod(pszCalleeModName, pfnCurrent, pfnNew, me.hModule);
        }
    }

    CloseHandle(hSnapshot);

    return TRUE;
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////


//  替换模块导入表中的函数地址
void  WINAPI CApiHook::ReplaceIATEntryInOneMod(PCSTR pszCalleeModName, 
                                       PROC pfnCurrent, PROC pfnNew, HMODULE hmodCaller)
{
    ULONG ulSize;

    // 一个异常可能被触发，因为诸如explorer.exe这样的进程能够快速地加载和卸载模块
    PIMAGE_IMPORT_DESCRIPTOR pImportDesc = NULL;
    __try
    {
        pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR) ImageDirectoryEntryToDataEx(
            hmodCaller, TRUE, IMAGE_DIRECTORY_ENTRY_IMPORT, &ulSize, NULL);
    } 
    __except (InvalidReadExceptionFilter(GetExceptionInformation()))
    {
        
    }

    if (pImportDesc == NULL)
        return;

    // 在导入描述符中查找导入信息
    for (; pImportDesc->Name; ++pImportDesc)
    {
        // 得到模块名pszModName（模块基地址 + 名称偏移）
        PSTR pszModName = (PSTR) ((PBYTE) hmodCaller + pImportDesc->Name);

        // 判断模块名是否为指定模块
        if (lstrcmpiA(pszModName, pszCalleeModName) == 0)
        {
            // 取得调用者导入函数地址表的在模块中的函数地址（模块基址 + 偏移）
            PIMAGE_THUNK_DATA pThunk = (PIMAGE_THUNK_DATA) 
                ((PBYTE)hmodCaller + pImportDesc->FirstThunk);

            // 用新的函数地址替换当前函数地址
            for (; pThunk->u1.Function; pThunk++)
            {

                // 取得函数地址
                PROC* ppfn = (PROC*) &pThunk->u1.Function;

                // 是否是需要替换的函数（比较函数地址）
                BOOL bFound = (*ppfn == pfnCurrent);
                if (bFound)
                {
                    // 修改地址
                    if (!WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, 
                        sizeof (pfnNew), NULL) && (ERROR_NOACCESS == GetLastError()))
                    {
                        // 如果失败，则更改页保护属性
                        DWORD dwOldProtect;
                        if (VirtualProtect(ppfn, sizeof (pfnNew), PAGE_WRITECOPY, 
                            &dwOldProtect))
                        {

                            WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, 
                                sizeof (pfnNew), NULL);
                            VirtualProtect(ppfn, sizeof (pfnNew), dwOldProtect, 
                                &dwOldProtect);
                        }
                    }
                    return;
                }
            }
        }
    }
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  替换模块导出表中函数的地址
void  WINAPI CApiHook::ReplaceEATEntryInOneMod(HMODULE hmod, PCSTR pszFunctionName, PROC pfnNew)
{
    // 得到模块导出节地址
    ULONG ulSize;

    // 得到导出节目录地址
    PIMAGE_EXPORT_DIRECTORY pExportDir = NULL;
    __try
    {
        pExportDir = (PIMAGE_EXPORT_DIRECTORY)ImageDirectoryEntryToData(
            hmod, TRUE, IMAGE_DIRECTORY_ENTRY_EXPORT, &ulSize);
    } 
    __except (InvalidReadExceptionFilter(GetExceptionInformation()))
    {
        
    }

    if (pExportDir == NULL)
        return;

    PDWORD pdwNamesRvas = (PDWORD) ((PBYTE) hmod + pExportDir->AddressOfNames);
    PWORD pdwNameOrdinals = (PWORD) 
        ((PBYTE) hmod + pExportDir->AddressOfNameOrdinals);
    PDWORD pdwFunctionAddresses = (PDWORD) 
        ((PBYTE) hmod + pExportDir->AddressOfFunctions);

    // 遍历模块函数名表
    for (DWORD n = 0; n < pExportDir->NumberOfNames; n++)
    {
        // 取得函数名
        PSTR pszFuncName = (PSTR) ((PBYTE) hmod + pdwNamesRvas[n]);

        // 如果不是指定的函数，则继续遍历
        if (lstrcmpiA(pszFuncName, pszFunctionName) != 0)
            continue;

        // 得到这个指定函数的序号
        WORD ordinal = pdwNameOrdinals[n];

        // 得到函数地址
        PROC * ppfn = (PROC*) &pdwFunctionAddresses[ordinal];

        // 用RVA（相对虚拟地址）更换成新的地址
        pfnNew = (PROC) ((PBYTE) pfnNew - (PBYTE) hmod);

        // 用新的函数地址替换当前函数地址
        if (!WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, sizeof (pfnNew), NULL) 
            && (ERROR_NOACCESS == GetLastError()))
        {
            DWORD dwOldProtect;
            if (VirtualProtect(ppfn, sizeof (pfnNew), PAGE_WRITECOPY, 
                &dwOldProtect))
            {

                WriteProcessMemory(GetCurrentProcess(), ppfn, &pfnNew, 
                    sizeof (pfnNew), NULL);
                VirtualProtect(ppfn, sizeof (pfnNew), dwOldProtect, &dwOldProtect);
            }
        }
        break;
    }
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  替换LoadLibaray*函数和GetProcAddress函数

CApiHook CApiHook::sm_LoadLibraryA  ( " Kernel32.dll " ,  " LoadLibraryA " ,   
                                     (PROC) CApiHook::LoadLibraryA_Hook);

CApiHook CApiHook::sm_LoadLibraryW  ( " Kernel32.dll " ,  " LoadLibraryW " ,   
                                     (PROC) CApiHook::LoadLibraryW_Hook);

CApiHook CApiHook::sm_LoadLibraryExA( " Kernel32.dll " ,  " LoadLibraryExA " , 
                                     (PROC) CApiHook::LoadLibraryExA_Hook);

CApiHook CApiHook::sm_LoadLibraryExW( " Kernel32.dll " ,  " LoadLibraryExW " , 
                                     (PROC) CApiHook::LoadLibraryExW_Hook);

CApiHook CApiHook::sm_GetProcAddress( " Kernel32.dll " ,  " GetProcAddress " , 
                                     (PROC) CApiHook::GetProcAddress_Hook);

CApiHook CApiHook::sm_FreeLibrary( " Kernel32.dll " ,  " FreeLibrary " , 
                                     (PROC) CApiHook::FreeLibrary_Hook);


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  防止运行时加载模块（如线程调用LoadLibarayW等函数）
void  CApiHook::FixupNewlyLoadedModule(PCSTR pszModPath, HMODULE hmod, DWORD dwFlags)
{
    // 如果一个新的模块被加载，重新挂钩函数
    if ((hmod != NULL) &&
        (hmod != ModuleFromAddress(FixupNewlyLoadedModule)) && 
        ((dwFlags & LOAD_LIBRARY_AS_DATAFILE) == 0) &&
        ((dwFlags & LOAD_LIBRARY_AS_DATAFILE_EXCLUSIVE) == 0) &&
        ((dwFlags & LOAD_LIBRARY_AS_IMAGE_RESOURCE) == 0)
        )
    {
        // 遍历CApiHook对象链，挂钩个对象要求的API函数
        for (CApiHook* p = sm_pHead; p != NULL; p = p->m_pNext)
        {
            // 如果某个对象的原函数地址为NULL，可能是延迟加载等原因导致原来DLL不在内存中而引起的
            // 因此在这里根据模块名获得函数现在的地址
            if (p->m_pfnOrig == NULL)
            {
                if (lstrcmpiA(p->m_pszCalleeModName, pszModPath) == 0)
                {
                    p->m_hMod = hmod;
                    p->m_pfnOrig = p->GetProcAddressRaw(hmod, p->m_pszFuncName);
                }
            }
            if (p->m_pfnOrig != NULL)
            {
                // 重新挂钩每个函数
                ReplaceIATEntryInAllMods(p->m_pszCalleeModName, p->m_pfnOrig, p->m_pfnHook);
            }
            else
            {
#ifdef _DEBUG
                // 可能是延迟加载导致p->m_pfnOrig为空
                wchar_t szPathname[MAX_PATH];
                GetModuleFileNameW(NULL, szPathname, _countof(szPathname));
                wchar_t sz[1024];
                wsprintfW(sz, L"[%4u - %s] impossible to find %S\r\n", 
                    GetCurrentProcessId(), szPathname, p->m_pszCalleeModName);
                OutputDebugString(sz);
#endif
            }
        }
    }
}

/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  防止运行时卸载模块（如线程调用FreeLibrary等函数）
BOOL WINAPI CApiHook::FixupNewlyUnLoadModule(HMODULE hmod)
{
    if (hmod == NULL || hmod == ModuleFromAddress(FixupNewlyUnLoadModule))
        return FALSE;

    BOOL bFree = TRUE;
    wchar_t szModPath[MAX_PATH];
    szModPath[0] = L'\0';

    if (!GetModuleFileNameW(hmod, szModPath, MAX_PATH))
        return FALSE;

    if (!::FreeLibrary(hmod))
        return FALSE;

    bFree = TRUE;
    
    if (GetModuleFileNameW(hmod, szModPath, MAX_PATH))
    {
        // 如果还能够得到地址，则说明该模块在进程地址空间中并没有真正卸载
        if (GetModuleHandleW(szModPath))
            bFree = FALSE;
    }

    // 如果卸载了，则撤销某些挂钩
    if (bFree)
    {
        for (CApiHook * p = sm_pHead; p; p = p->m_pNext)
        {
            if (p->m_pfnOrig && p->m_hMod == hmod)
                p->UnHook();
        }
    }
    return TRUE;
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  挂钩LoadLibarayA的替换函数
HMODULE WINAPI CApiHook::LoadLibraryA_Hook(PCSTR pszModulePath)
{
    HMODULE hmod = ::LoadLibraryA(pszModulePath);
    FixupNewlyLoadedModule(pszModulePath, hmod, 0);
    return hmod;
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  挂钩LoadLibraryW的替换函数
HMODULE WINAPI CApiHook::LoadLibraryW_Hook(PCWSTR pszModulePath)
{
    HMODULE hmod = ::LoadLibraryW(pszModulePath);
    char szModPath[MAX_PATH];
    WideCharToMultiByte(CP_ACP, WC_COMPOSITECHECK, pszModulePath, -1,
                szModPath, MAX_PATH * sizeof (char), NULL, NULL);
    FixupNewlyLoadedModule(szModPath, hmod, 0);
    return hmod;
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  挂钩LoadLibraryExA的替换函数
HMODULE WINAPI CApiHook::LoadLibraryExA_Hook(PCSTR pszModulePath, 
                                        HANDLE hFile, DWORD dwFlags)
{
    HMODULE hmod = ::LoadLibraryExA(pszModulePath, hFile, dwFlags);
    FixupNewlyLoadedModule(pszModulePath, hmod, dwFlags);
    return hmod;
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  挂钩LoadLibraryExW的替换函数
HMODULE WINAPI CApiHook::LoadLibraryExW_Hook(PCWSTR pszModulePath, 
                                        HANDLE hFile, DWORD dwFlags)
{

    HMODULE hmod = ::LoadLibraryExW(pszModulePath, hFile, dwFlags);
    char szModPath[MAX_PATH];
    WideCharToMultiByte(CP_ACP, WC_COMPOSITECHECK, pszModulePath, -1,
                szModPath, MAX_PATH * sizeof (char), NULL, NULL);
    FixupNewlyLoadedModule(szModPath, hmod, dwFlags);
    return hmod;
}


/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  挂钩GetProcAddress的替换函数
FARPROC WINAPI CApiHook::GetProcAddress_Hook(HMODULE hmod, PCSTR pszProcName)
{
    // 取得函数的实际地址
    FARPROC pfn = GetProcAddressRaw(hmod, pszProcName);

    CApiHook * p = sm_pHead;
    for (; (pfn != NULL) && (p != NULL); p = p->m_pNext)
    {
        // 查看是否是想挂钩的函数，如果是，则返回新的替换函数
        if (pfn == p->m_pfnOrig)
        {
            // 返回我们的替换函数地址
            pfn = p->m_pfnHook;
            break;
        }
    }
    return pfn;    // 返回替换函数地址
}

/**/ /**/ /**/ ///////////////////////////////////////////////////////////////////////////////

//  拦截FreeLibrary的替换函数
//  注意函数采用内联汇编进行编写，需要使用__declspec(naked)标记函数，让编译器不产生框架代码，自己维护堆栈平衡
__declspec(naked) BOOL WINAPI CApiHook::FreeLibrary_Hook(HMODULE hLibModule)
{
    __asm
    {
        push ebp;
        mov ebp, esp;
        pushad;
        push dword ptr[FreeLibrary_Hook];
        call dword ptr[ModuleFromAddress];
        cmp [ebp + 8], eax;
        jne NotMe;
        mov eax, sm_pHead;
Next:
        cmp eax, NULL;
        je    CallTrue;
        mov edx, [eax].m_pNext;
        push edx;
        push eax;        ; 这里相当于压入this指针
        call UnHook;    ; 相当于调用[eax].UnHook
        pop eax;
        jmp    Next;
CallTrue:
        popad;
        pop ebp;
        jmp dword ptr[sm_pFunFreeLibrary];    ; 如果是卸载本模块，则可能是其他程序调用，需要跳转到真正的FreeLibaray函数的地址

        ; 不是卸载的本模块
NotMe:
        push [ebp + 8];
        call FixupNewlyUnLoadModule;    ; 不是本模块卸载，则调用修正的FreeLibrary函数

        popad;
        pop ebp;
        mov eax, TRUE;
        ret 4;
    }
}


/**/ /**/ /**/ //////////////////////////////// End of File //////////////////////////////////

 

　　如上就可以实现挂钩FreeLibaray函数的功能了。

　　同时，这里在HOOK所有LoadLibaray * 函数的时候，调用了FexupNewlyLoadedModule函数，该函数会遍历所有CApiHook对象，查看是否存在某个对象的API原地址为NULL，如果是，就检测模块名是否一致，这样就可以通过模块得到这个API原始地址了，这样就可以解决延迟加载的问题。 

转自： http://www.cppblog.com/wz19860913/archive/2009/08/14/93302.html