wzsy
wzsy

Detours x64

发信人: flier (小海 [渴望并不存在的完美]), 信区: MSDN
标  题: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 01:01:07 2007), 站内

该死的路径依赖，为了折腾另外一个问题，不得不先把这个搞定 :S

Detours我就不介绍了，MSR放出的2.1 Express版本不支持64位
而据某人发邮件问，要10000刀才给授权，基本也不用想了 -_-b

于是乎在此基础上修修补补，基本能在x64下跑起来
因为还有些bug，暂时不放完整版本出来，大概说说流程

API Hook 基本已经是大白菜级技术，无非就是找到函数入口点
替换前面几个字节为jmp，重定向到一个跳板，完成工作再跳回去
详细的流程请参考detours的代码，下面捡x64下不一样的说

首先是在DetourAttachEx时找到原始函数和Hook函数的真实代码入口点
可能需要跳过import表，或者调试用间接跳转指令啥的，
detours.cpp里detour_skip_jmp函数就是干这个的，
不过在x64下需要做一些调整，因为某些指令的数据长度跟x86不同
这块代码我基本照抄mhook的实现，比detours增加了嵌套检查



inline PBYTE detour_skip_jmp(PBYTE pbCode, PVOID *ppGlobals)

{

  if (pbCode == NULL) {

    return NULL;

  }

  if (ppGlobals != NULL) {

    *ppGlobals = NULL;

  }

  if (pbCode[0] == 0xff && pbCode[1] == 0x25) {   // jmp [+imm32]

    // Looks like an import alias jump, then get the code it points to.

    // on x64 we have a 32-bit offset...

    PBYTE pbTarget = *(PBYTE*)(pbCode + 6 + *(INT32 *)&pbCode[2]);

    if (detour_is_imported(pbCode, pbTarget)) {

      PBYTE pbNew = *(PBYTE *)pbTarget;

      DETOUR_TRACE(("%p->%p: skipped over import table./n", pbCode, pbNew));


      return pbNew;

    }

    return detour_skip_jmp(pbTarget, ppGlobals);

  }

  else if (pbCode[0] == 0xe9) {   // jmp + rel32, Near jump with the target

    /*

    SEH64!ILT+15(?CallThatFunctionYAHXZ):

    00000000`00401014 e957000000      jmp     SEH64!CallThatFunction (000000
00`00401070)

    SEH64!CallThatFunction [d:/study/win64/seh64/seh64.cpp @ 11]:

    00000000`00401070 4057            push    rdi

    00000000`00401072 4883ec40        sub     rsp,40h

    00000000`00401076 488bfc          mov     rdi,rsp

    */

    PBYTE pbNew = pbCode + 5 + *(INT32 *)&pbCode[1];

    return detour_skip_jmp(pbNew, ppGlobals);

  }

  else if (pbCode[0] == 0xeb) {   // jmp +imm8

    // These just started appearing with CL13.

    PBYTE pbNew = pbCode + 2 + *(CHAR *)&pbCode[1];

    return detour_skip_jmp(pbNew, ppGlobals);

  }

  return pbCode;

}

知道入口后，detours会调用DetourCopyInstructionEx复制入口处代码
其根据字节可能代表的指令，把相关信息放到s_rceCopyTable表中
x64下需要修改的是从0x40到0x4f这几个入口，x64指令集中用他们
作为REX前缀，详细说明参见AMD architecture programmer manual volume 3
1.2.7 REX Prefixes 小节中有详细讨论，这儿全部当成单字节前缀即可

#ifdef DETOURS_X64 // For Rex Prefix
    { 0x40, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x41, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x42, ENTRY_CopyBytesPrefix },                    // REX Prefixes

    { 0x43, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x44, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x45, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x46, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x47, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x48, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x49, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x4A, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x4B, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x4C, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x4D, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x4E, ENTRY_CopyBytesPrefix },                    // REX Prefixes
    { 0x4F, ENTRY_CopyBytesPrefix },                    // REX Prefixes
#else

而对FF开始的far indirect jmp/call 指令，x64也跟x86不同

PBYTE CDetourDis::CopyFF(REFCOPYENTRY pEntry, PBYTE pbDst, PBYTE pbSrc)

{   // CALL /2

    // CALL /3

    // INC /0

    // JMP /4

    // JMP /5

    // PUSH /6

    (void)pEntry;

    if (0x15 == pbSrc[1] || 0x25 == pbSrc[1]) {         // CALL [], JMP []

#ifdef DETOURS_X64

        DWORD dwOffset = *((PDWORD)&pbSrc[2]);

        *m_ppbTarget = (PBYTE)*((PDWORD_PTR)(pbSrc + 6 + dwOffset));

#else

        PBYTE *ppbTarget = *(PBYTE**)&pbSrc[2];

        *m_ppbTarget = *ppbTarget;

#endif

    }

    else if (0x10 == (0x38 & pbSrc[1]) || // CALL /2 --> reg(bits 543) of Mo
dR/M == 010

             0x18 == (0x38 & pbSrc[1]) || // CALL /3 --> reg(bits 543) of Mo
dR/M == 011

             0x20 == (0x38 & pbSrc[1]) || // JMP /4 --> reg(bits 543) of Mod
R/M == 100

             0x28 == (0x38 & pbSrc[1])    // JMP /5 --> reg(bits 543) of Mod
R/M == 101

            ) {

        *m_ppbTarget = (PBYTE)DETOUR_INSTRUCTION_TARGET_DYNAMIC;

    }

    const COPYENTRY ce = { 0xff, ENTRY_CopyBytes2Mod };

    return (this->*ce.pfCopy)(&ce, pbDst, pbSrc);

}

拷贝了原始指令到跳板后，需要在后面增加跳回剩余指令的jmp
x86下面detours直接用detour_gen_jmp_immediate函数生成指令
但在x64下面需要修改，因为x64下面指针是64位的，
如果目标地址在当前地址前后2G范围内，可以用32位偏移跳转
否则必须把地址放到内存中，然后在jmp指令指定保存地址的位置

detours在通过detour_alloc_trampoline函数分配跳板内存时
会尽量尝试把内存分配在目标函数2G范围内，避免长跳转指令
这样可以确保目标函数大于5字节（near jmp) 时都能工作
但这样一来就无法确保跳板跟hook函数的位置在2G内，
所以x64下面必须处理这些情况，同理照抄mhook代码如下

inline PBYTE detour_gen_jmp(PBYTE pbCode, PBYTE pbJumpTo)

{

  PBYTE pbJumpFrom = pbCode + 5;

  SIZE_T cbDiff = pbJumpFrom > pbJumpTo ? pbJumpFrom - pbJumpTo : pbJumpTo -
 pbJumpFrom;

  if (cbDiff <= 0x7fff0000) {

    *pbCode++ = 0xe9;

    *((PDWORD)pbCode) = (DWORD)(DWORD_PTR)(pbJumpTo - pbJumpFrom);

    pbCode += sizeof(DWORD);

  } else {

    *pbCode++ = 0xff;

    *pbCode++ = 0x25;

    // on x64 we write the relative address of the same location

    *((PDWORD)pbCode) = (DWORD)0;

    pbCode += sizeof(DWORD);

    

    *((PDWORD_PTR)pbCode) = (DWORD_PTR)(pbJumpTo);

    pbCode += sizeof(DWORD_PTR);

  }

  return pbCode;

}

除此之外，还有一些异常情况的处理，例如暂停线程时，
其RIP刚好在跳板或者目标函数入口处，理论上可以使用
与x86相同的机制，不过暂时没法构造环境测试

#ifdef DETOURS_X64

#define DETOURS_EIP         Rip
#define DETOURS_EIP_TYPE    DWORD64

#endif // DETOURS_X64

最后还有一些跟细节的处理，例如对ModRm下RIP的处理
回头加上再一起放出完整可用的代码吧

Reference

1. Microsoft Research Detours Package
   http://research.microsoft.com/research/downloads/Details/d36340fb-4d3c-4ddd-bf5b-1db25d03713d/Details.aspx

2. Mhook, an API hooking library, V2.0
   http://codefromthe70s.org/mhook2.asp

3. AMD64 Architecture Programmer’s Manual Volume 3: General-Purpose and System Instructions

4. Everything You Need To Know To Start Programming 64-Bit Windows Systems, Matt Pietrek
   http://msdn.microsoft.com/msdnmag/issues/06/05/x64/default.aspx?print=true&loc=null
 .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
 .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
 .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
 .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
 .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
 .        ……             //___/     //_____///__///____/  //_/[email protected] .


※ 修改:·flier 于 Aug  3 01:01:35 修改本文·[FROM: 221.226.232.*]
※ 来源:·水木社区 newsmth.net·[FROM: 221.226.232.*]

 

[ 本篇全文] [本篇作者： FreeWizard] [ 进入讨论区] [ 返回顶部]
2
发信人: FreeWizard (  ), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 01:02:58 2007), 站内

orz
先re再看

【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: 该死的路径依赖，为了折腾另外一个问题，不得不先把这个搞定 :S
: Detours我就不介绍了，MSR放出的2.1 Express版本不支持64位
: 而据某人发邮件问，要10000刀才给授权，基本也不用想了 -_-b
: ...................

--

※ 来源:·水木社区 newsmth.net·[FROM: 221.221.18.159]

 

[ 本篇全文] [本篇作者： flier] [ 进入讨论区] [ 返回顶部]
3
发信人: flier (小海 [渴望并不存在的完美]), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 01:11:16 2007), 站内

编译了一下 detours 那个 dtest 例子，代码完全不受影响，设置一下库就行
这个是vs2005编译后的调试版本，可以用windbg看看，呵呵，xp pro x64 下测试通过

【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: 该死的路径依赖，为了折腾另外一个问题，不得不先把这个搞定 :S
: Detours我就不介绍了，MSR放出的2.1 Express版本不支持64位
: 而据某人发邮件问，要10000刀才给授权，基本也不用想了 -_-b
: ...................



--
 .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
 .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
 .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
 .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
 .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
 .        ……             //___/     //_____///__///____/  //_/[email protected] .


※ 来源:·水木社区 http://newsmth.net·[FROM: 221.226.232.*]


附件: Debug64.rar (237KB)

附件: pdb.rar (634KB)

 

[ 本篇全文] [本篇作者： peach] [ 进入讨论区] [ 返回顶部]
4
发信人: peach (换台机器挂站), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 08:32:21 2007), 站内

最近也折腾了一些这方面的东西，但不是64位的

有些想法，正好拿出来

API HOOK 还可以用另外一种方法，虽然也会用到 detours 相关的技术，不过性能上有不少折扣

这种方法的核心思想就是使用 SEH，在需要 HOOK 的 API 入口处，改成一个  user break point 即可，这时候只要接管 SEH 处理函数即可，在 SEH 处理函数中，你可以修改 CONTEXT::Eip 以及其他寄存器来达到改变程序的流程的目的。

这时候有两个问题，
1、API入口的第一条指令。
   a) 绝对跳转之类的指令(jmp, call)。将 user break point 移至跳转到的地址处。
   b) 条件跳转。这种情况似乎很少见
   c) 其他指令。移走，在其他地方执行。

2、如何接管 SEH 处理函数。
   Detours 中有 DetourFirstChanceExceptionFilter，可以让你在第一时间处理所发生的异常。

如果需要 HOOK 的 API 不是很多，user break point 都不用加，用硬件调试寄存器就可以完成了。


【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: 标  题: Detours x64 [Draft]
: 发信站: 水木社区 (Fri Aug  3 01:01:07 2007), 站内
:
: 该死的路径依赖，为了折腾另外一个问题，不得不先把这个搞定 :S
:
: Detours我就不介绍了，MSR放出的2.1 Express版本不支持64位
: 而据某人发邮件问，要10000刀才给授权，基本也不用想了 -_-b
:
: 于是乎在此基础上修修补补，基本能在x64下跑起来
: 因为还有些bug，暂时不放完整版本出来，大概说说流程
:
: API Hook 基本已经是大白菜级技术，无非就是找到函数入口点
: 替换前面几个字节为jmp，重定向到一个跳板，完成工作再跳回去
: 详细的流程请参考detours的代码，下面捡x64下不一样的说
:
: 首先是在DetourAttachEx时找到原始函数和Hook函数的真实代码入口点
: 可能需要跳过import表，或者调试用间接跳转指令啥的，
: detours.cpp里detour_skip_jmp函数就是干这个的，
: 不过在x64下需要做一些调整，因为某些指令的数据长度跟x86不同
: 这块代码我基本照抄mhook的实现，比detours增加了嵌套检查
:
:
:
: inline PBYTE detour_skip_jmp(PBYTE pbCode, PVOID *ppGlobals)
:
: {
:
:   if (pbCode == NULL) {
:
:     return NULL;
:
:   }
:
:   if (ppGlobals != NULL) {
:
:     *ppGlobals = NULL;
:
:   }
:
:   if (pbCode[0] == 0xff && pbCode[1] == 0x25) {   // jmp [+imm32]
:
:     // Looks like an import alias jump, then get the code it points to.
:
:     // on x64 we have a 32-bit offset...
:
:     PBYTE pbTarget = *(PBYTE*)(pbCode + 6 + *(INT32 *)&pbCode[2]);
:
:     if (detour_is_imported(pbCode, pbTarget)) {
:
:       PBYTE pbNew = *(PBYTE *)pbTarget;
:
:       DETOUR_TRACE(("%p->%p: skipped over import table./n", pbCode, pbNew));
:
:
:       return pbNew;
:
:     }
:
:     return detour_skip_jmp(pbTarget, ppGlobals);
:
:   }
:
:   else if (pbCode[0] == 0xe9) {   // jmp + rel32, Near jump with the target
:
:     /*
:
:     SEH64!ILT+15(?CallThatFunctionYAHXZ):
:
:     00000000`00401014 e957000000      jmp     SEH64!CallThatFunction (000000
: 00`00401070)
:
:     SEH64!CallThatFunction [d:/study/win64/seh64/seh64.cpp @ 11]:
:
:     00000000`00401070 4057            push    rdi
:
:     00000000`00401072 4883ec40        sub     rsp,40h
:
:     00000000`00401076 488bfc          mov     rdi,rsp
:
:     */
:
:     PBYTE pbNew = pbCode + 5 + *(INT32 *)&pbCode[1];
:
:     return detour_skip_jmp(pbNew, ppGlobals);
:
:   }
:
:   else if (pbCode[0] == 0xeb) {   // jmp +imm8
:
:     // These just started appearing with CL13.
:
:     PBYTE pbNew = pbCode + 2 + *(CHAR *)&pbCode[1];
:
:     return detour_skip_jmp(pbNew, ppGlobals);
:
:   }
:
:   return pbCode;
:
: }
:
: 知道入口后，detours会调用DetourCopyInstructionEx复制入口处代码
: 其根据字节可能代表的指令，把相关信息放到s_rceCopyTable表中
: x64下需要修改的是从0x40到0x4f这几个入口，x64指令集中用他们
: 作为REX前缀，详细说明参见AMD architecture programmer manual volume 3
: 1.2.7 REX Prefixes 小节中有详细讨论，这儿全部当成单字节前缀即可
:
: #ifdef DETOURS_X64 // For Rex Prefix
:     { 0x40, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x41, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x42, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:
:     { 0x43, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x44, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x45, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x46, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x47, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x48, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x49, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4A, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4B, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4C, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4D, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4E, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4F, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: #else
:
: 而对FF开始的far indirect jmp/call 指令，x64也跟x86不同
:
: PBYTE CDetourDis::CopyFF(REFCOPYENTRY pEntry, PBYTE pbDst, PBYTE pbSrc)
:
: {   // CALL /2
:
:     // CALL /3
:
:     // INC /0
:
:     // JMP /4
:
:     // JMP /5
:
:     // PUSH /6
:
:     (void)pEntry;
:
:     if (0x15 == pbSrc[1] || 0x25 == pbSrc[1]) {         // CALL [], JMP []
:
: #ifdef DETOURS_X64
:
:         DWORD dwOffset = *((PDWORD)&pbSrc[2]);
:
:         *m_ppbTarget = (PBYTE)*((PDWORD_PTR)(pbSrc + 6 + dwOffset));
:
: #else
:
:         PBYTE *ppbTarget = *(PBYTE**)&pbSrc[2];
:
:         *m_ppbTarget = *ppbTarget;
:
: #endif
:
:     }
:
:     else if (0x10 == (0x38 & pbSrc[1]) || // CALL /2 --> reg(bits 543) of Mo
: dR/M == 010
:
:              0x18 == (0x38 & pbSrc[1]) || // CALL /3 --> reg(bits 543) of Mo
: dR/M == 011
:
:              0x20 == (0x38 & pbSrc[1]) || // JMP /4 --> reg(bits 543) of Mod
: R/M == 100
:
:              0x28 == (0x38 & pbSrc[1])    // JMP /5 --> reg(bits 543) of Mod
: R/M == 101
:
:             ) {
:
:         *m_ppbTarget = (PBYTE)DETOUR_INSTRUCTION_TARGET_DYNAMIC;
:
:     }
:
:     const COPYENTRY ce = { 0xff, ENTRY_CopyBytes2Mod };
:
:     return (this->*ce.pfCopy)(&ce, pbDst, pbSrc);
:
: }
:
: 拷贝了原始指令到跳板后，需要在后面增加跳回剩余指令的jmp
: x86下面detours直接用detour_gen_jmp_immediate函数生成指令
: 但在x64下面需要修改，因为x64下面指针是64位的，
: 如果目标地址在当前地址前后2G范围内，可以用32位偏移跳转
: 否则必须把地址放到内存中，然后在jmp指令指定保存地址的位置
:
: detours在通过detour_alloc_trampoline函数分配跳板内存时
: 会尽量尝试把内存分配在目标函数2G范围内，避免长跳转指令
: 这样可以确保目标函数大于5字节（near jmp) 时都能工作
: 但这样一来就无法确保跳板跟hook函数的位置在2G内，
: 所以x64下面必须处理这些情况，同理照抄mhook代码如下
:
: inline PBYTE detour_gen_jmp(PBYTE pbCode, PBYTE pbJumpTo)
:
: {
:
:   PBYTE pbJumpFrom = pbCode + 5;
:
:   SIZE_T cbDiff = pbJumpFrom > pbJumpTo ? pbJumpFrom - pbJumpTo : pbJumpTo -
:  pbJumpFrom;
:
:   if (cbDiff <= 0x7fff0000) {
:
:     *pbCode++ = 0xe9;
:
:     *((PDWORD)pbCode) = (DWORD)(DWORD_PTR)(pbJumpTo - pbJumpFrom);
:
:     pbCode += sizeof(DWORD);
:
:   } else {
:
:     *pbCode++ = 0xff;
:
:     *pbCode++ = 0x25;
:
:     // on x64 we write the relative address of the same location
:
:     *((PDWORD)pbCode) = (DWORD)0;
:
:     pbCode += sizeof(DWORD);
:
:    
:
:     *((PDWORD_PTR)pbCode) = (DWORD_PTR)(pbJumpTo);
:
:     pbCode += sizeof(DWORD_PTR);
:
:   }
:
:   return pbCode;
:
: }
:
: 除此之外，还有一些异常情况的处理，例如暂停线程时，
: 其RIP刚好在跳板或者目标函数入口处，理论上可以使用
: 与x86相同的机制，不过暂时没法构造环境测试
:
: #ifdef DETOURS_X64
:
: #define DETOURS_EIP         Rip
: #define DETOURS_EIP_TYPE    DWORD64
:
: #endif // DETOURS_X64
:
: 最后还有一些跟细节的处理，例如对ModRm下RIP的处理
: 回头加上再一起放出完整可用的代码吧
:
: Reference
:
: 1. Microsoft Research Detours Package
:    http://research.microsoft.com/research/downloads/Details/d36340fb-4d3c-4ddd-bf5b-1db25d03713d/Details.aspx
:
: 2. Mhook, an API hooking library, V2.0
:    http://codefromthe70s.org/mhook2.asp
:
: 3. AMD64 Architecture Programmer’s Manual Volume 3: General-Purpose and System Instructions
:
: 4. Everything You Need To Know To Start Programming 64-Bit Windows Systems, Matt Pietrek
:    http://msdn.microsoft.com/msdnmag/issues/06/05/x64/default.aspx?print=true&loc=null
:  .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
:  .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
:  .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
:  .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
:  .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
:  .        ……             //___/     //_____///__///____/  //_/[email protected] .
:
:
: ※ 修改:·flier 于 Aug  3 01:01:35 修改本文·[FROM: 221.226.232.*]
: ※ 来源:·水木社区 newsmth.net·[FROM: 221.226.232.*]


--

※ 来源:·水木社区 newsmth.net·[FROM: 166.111.8.*]

 

[ 本篇全文] [本篇作者： bbinn] [ 进入讨论区] [ 返回顶部]
5
发信人: bbinn (明天的明天), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 08:55:39 2007), 站内


牛

【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: 标  题: Detours x64 [Draft]
: 发信站: 水木社区 (Fri Aug  3 01:01:07 2007), 站内
:
: 该死的路径依赖，为了折腾另外一个问题，不得不先把这个搞定 :S
:
: Detours我就不介绍了，MSR放出的2.1 Express版本不支持64位
: 而据某人发邮件问，要10000刀才给授权，基本也不用想了 -_-b
:
: 于是乎在此基础上修修补补，基本能在x64下跑起来
: 因为还有些bug，暂时不放完整版本出来，大概说说流程
:
: API Hook 基本已经是大白菜级技术，无非就是找到函数入口点
: 替换前面几个字节为jmp，重定向到一个跳板，完成工作再跳回去
: 详细的流程请参考detours的代码，下面捡x64下不一样的说
:
: 首先是在DetourAttachEx时找到原始函数和Hook函数的真实代码入口点
: 可能需要跳过import表，或者调试用间接跳转指令啥的，
: detours.cpp里detour_skip_jmp函数就是干这个的，
: 不过在x64下需要做一些调整，因为某些指令的数据长度跟x86不同
: 这块代码我基本照抄mhook的实现，比detours增加了嵌套检查
:
:
:
: inline PBYTE detour_skip_jmp(PBYTE pbCode, PVOID *ppGlobals)
:
: {
:
:   if (pbCode == NULL) {
:
:     return NULL;
:
:   }
:
:   if (ppGlobals != NULL) {
:
:     *ppGlobals = NULL;
:
:   }
:
:   if (pbCode[0] == 0xff && pbCode[1] == 0x25) {   // jmp [+imm32]
:
:     // Looks like an import alias jump, then get the code it points to.
:
:     // on x64 we have a 32-bit offset...
:
:     PBYTE pbTarget = *(PBYTE*)(pbCode + 6 + *(INT32 *)&pbCode[2]);
:
:     if (detour_is_imported(pbCode, pbTarget)) {
:
:       PBYTE pbNew = *(PBYTE *)pbTarget;
:
:       DETOUR_TRACE(("%p->%p: skipped over import table./n", pbCode, pbNew));
:
:
:       return pbNew;
:
:     }
:
:     return detour_skip_jmp(pbTarget, ppGlobals);
:
:   }
:
:   else if (pbCode[0] == 0xe9) {   // jmp + rel32, Near jump with the target
:
:     /*
:
:     SEH64!ILT+15(?CallThatFunctionYAHXZ):
:
:     00000000`00401014 e957000000      jmp     SEH64!CallThatFunction (000000
: 00`00401070)
:
:     SEH64!CallThatFunction [d:/study/win64/seh64/seh64.cpp @ 11]:
:
:     00000000`00401070 4057            push    rdi
:
:     00000000`00401072 4883ec40        sub     rsp,40h
:
:     00000000`00401076 488bfc          mov     rdi,rsp
:
:     */
:
:     PBYTE pbNew = pbCode + 5 + *(INT32 *)&pbCode[1];
:
:     return detour_skip_jmp(pbNew, ppGlobals);
:
:   }
:
:   else if (pbCode[0] == 0xeb) {   // jmp +imm8
:
:     // These just started appearing with CL13.
:
:     PBYTE pbNew = pbCode + 2 + *(CHAR *)&pbCode[1];
:
:     return detour_skip_jmp(pbNew, ppGlobals);
:
:   }
:
:   return pbCode;
:
: }
:
: 知道入口后，detours会调用DetourCopyInstructionEx复制入口处代码
: 其根据字节可能代表的指令，把相关信息放到s_rceCopyTable表中
: x64下需要修改的是从0x40到0x4f这几个入口，x64指令集中用他们
: 作为REX前缀，详细说明参见AMD architecture programmer manual volume 3
: 1.2.7 REX Prefixes 小节中有详细讨论，这儿全部当成单字节前缀即可
:
: #ifdef DETOURS_X64 // For Rex Prefix
:     { 0x40, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x41, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x42, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:
:     { 0x43, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x44, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x45, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x46, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x47, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x48, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x49, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4A, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4B, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4C, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4D, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4E, ENTRY_CopyBytesPrefix },                    // REX Prefixes
:     { 0x4F, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: #else
:
: 而对FF开始的far indirect jmp/call 指令，x64也跟x86不同
:
: PBYTE CDetourDis::CopyFF(REFCOPYENTRY pEntry, PBYTE pbDst, PBYTE pbSrc)
:
: {   // CALL /2
:
:     // CALL /3
:
:     // INC /0
:
:     // JMP /4
:
:     // JMP /5
:
:     // PUSH /6
:
:     (void)pEntry;
:
:     if (0x15 == pbSrc[1] || 0x25 == pbSrc[1]) {         // CALL [], JMP []
:
: #ifdef DETOURS_X64
:
:         DWORD dwOffset = *((PDWORD)&pbSrc[2]);
:
:         *m_ppbTarget = (PBYTE)*((PDWORD_PTR)(pbSrc + 6 + dwOffset));
:
: #else
:
:         PBYTE *ppbTarget = *(PBYTE**)&pbSrc[2];
:
:         *m_ppbTarget = *ppbTarget;
:
: #endif
:
:     }
:
:     else if (0x10 == (0x38 & pbSrc[1]) || // CALL /2 --> reg(bits 543) of Mo
: dR/M == 010
:
:              0x18 == (0x38 & pbSrc[1]) || // CALL /3 --> reg(bits 543) of Mo
: dR/M == 011
:
:              0x20 == (0x38 & pbSrc[1]) || // JMP /4 --> reg(bits 543) of Mod
: R/M == 100
:
:              0x28 == (0x38 & pbSrc[1])    // JMP /5 --> reg(bits 543) of Mod
: R/M == 101
:
:             ) {
:
:         *m_ppbTarget = (PBYTE)DETOUR_INSTRUCTION_TARGET_DYNAMIC;
:
:     }
:
:     const COPYENTRY ce = { 0xff, ENTRY_CopyBytes2Mod };
:
:     return (this->*ce.pfCopy)(&ce, pbDst, pbSrc);
:
: }
:
: 拷贝了原始指令到跳板后，需要在后面增加跳回剩余指令的jmp
: x86下面detours直接用detour_gen_jmp_immediate函数生成指令
: 但在x64下面需要修改，因为x64下面指针是64位的，
: 如果目标地址在当前地址前后2G范围内，可以用32位偏移跳转
: 否则必须把地址放到内存中，然后在jmp指令指定保存地址的位置
:
: detours在通过detour_alloc_trampoline函数分配跳板内存时
: 会尽量尝试把内存分配在目标函数2G范围内，避免长跳转指令
: 这样可以确保目标函数大于5字节（near jmp) 时都能工作
: 但这样一来就无法确保跳板跟hook函数的位置在2G内，
: 所以x64下面必须处理这些情况，同理照抄mhook代码如下
:
: inline PBYTE detour_gen_jmp(PBYTE pbCode, PBYTE pbJumpTo)
:
: {
:
:   PBYTE pbJumpFrom = pbCode + 5;
:
:   SIZE_T cbDiff = pbJumpFrom > pbJumpTo ? pbJumpFrom - pbJumpTo : pbJumpTo -
:  pbJumpFrom;
:
:   if (cbDiff <= 0x7fff0000) {
:
:     *pbCode++ = 0xe9;
:
:     *((PDWORD)pbCode) = (DWORD)(DWORD_PTR)(pbJumpTo - pbJumpFrom);
:
:     pbCode += sizeof(DWORD);
:
:   } else {
:
:     *pbCode++ = 0xff;
:
:     *pbCode++ = 0x25;
:
:     // on x64 we write the relative address of the same location
:
:     *((PDWORD)pbCode) = (DWORD)0;
:
:     pbCode += sizeof(DWORD);
:
:    
:
:     *((PDWORD_PTR)pbCode) = (DWORD_PTR)(pbJumpTo);
:
:     pbCode += sizeof(DWORD_PTR);
:
:   }
:
:   return pbCode;
:
: }
:
: 除此之外，还有一些异常情况的处理，例如暂停线程时，
: 其RIP刚好在跳板或者目标函数入口处，理论上可以使用
: 与x86相同的机制，不过暂时没法构造环境测试
:
: #ifdef DETOURS_X64
:
: #define DETOURS_EIP         Rip
: #define DETOURS_EIP_TYPE    DWORD64
:
: #endif // DETOURS_X64
:
: 最后还有一些跟细节的处理，例如对ModRm下RIP的处理
: 回头加上再一起放出完整可用的代码吧
:
: Reference
:
: 1. Microsoft Research Detours Package
:    http://research.microsoft.com/research/downloads/Details/d36340fb-4d3c-4ddd-bf5b-1db25d03713d/Details.aspx
:
: 2. Mhook, an API hooking library, V2.0
:    http://codefromthe70s.org/mhook2.asp
:
: 3. AMD64 Architecture Programmer’s Manual Volume 3: General-Purpose and System Instructions
:
: 4. Everything You Need To Know To Start Programming 64-Bit Windows Systems, Matt Pietrek
:    http://msdn.microsoft.com/msdnmag/issues/06/05/x64/default.aspx?print=true&loc=null
:  .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
:  .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
:  .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
:  .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
:  .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
:  .        ……             //___/     //_____///__///____/  //_/[email protected] .
:
:
: ※ 修改:·flier 于 Aug  3 01:01:35 修改本文·[FROM: 221.226.232.*]
: ※ 来源:·水木社区 newsmth.net·[FROM: 221.226.232.*]


--
-                     不谈金钱,不谈妇女,不谈琐事


※ 来源:·水木社区 newsmth.net·[FROM: 219.232.52.*]

 

[ 本篇全文] [本篇作者： bbinn] [ 进入讨论区] [ 返回顶部]
6
发信人: bbinn (明天的明天), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 08:58:20 2007), 站内

太赞了，我现在就在折腾这个。
不过OLE嵌入的时候你这招就不管用了，debug break会先被csrss.exe捕获到，
然后就直接认为嵌入失败，然后进程就suspend了。


【 在 peach (换台机器挂站) 的大作中提到: 】
: 标  题: Re: Detours x64 [Draft]
: 发信站: 水木社区 (Fri Aug  3 08:32:21 2007), 站内
:
: 最近也折腾了一些这方面的东西，但不是64位的
:
: 有些想法，正好拿出来
:
: API HOOK 还可以用另外一种方法，虽然也会用到 detours 相关的技术，不过性能上有不少折扣
:
: 这种方法的核心思想就是使用 SEH，在需要 HOOK 的 API 入口处，改成一个  user break point 即可，这时候只要接管 SEH 处理函数即可，在 SEH 处理函数中，你可以修改 CONTEXT::Eip 以及其他寄存器来达到改变程序的流程的目的。
:
: 这时候有两个问题，
: 1、API入口的第一条指令。
:    a) 绝对跳转之类的指令(jmp, call)。将 user break point 移至跳转到的地址处。
:    b) 条件跳转。这种情况似乎很少见
:    c) 其他指令。移走，在其他地方执行。
:
: 2、如何接管 SEH 处理函数。
:    Detours 中有 DetourFirstChanceExceptionFilter，可以让你在第一时间处理所发生的异常。
:
: 如果需要 HOOK 的 API 不是很多，user break point 都不用加，用硬件调试寄存器就可以完成了。
:
:
: 【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: : 标  题: Detours x64 [Draft]
: : 发信站: 水木社区 (Fri Aug  3 01:01:07 2007), 站内
: :
: : 该死的路径依赖，为了折腾另外一个问题，不得不先把这个搞定 :S
: :
: : Detours我就不介绍了，MSR放出的2.1 Express版本不支持64位
: : 而据某人发邮件问，要10000刀才给授权，基本也不用想了 -_-b
: :
: : 于是乎在此基础上修修补补，基本能在x64下跑起来
: : 因为还有些bug，暂时不放完整版本出来，大概说说流程
: :
: : API Hook 基本已经是大白菜级技术，无非就是找到函数入口点
: : 替换前面几个字节为jmp，重定向到一个跳板，完成工作再跳回去
: : 详细的流程请参考detours的代码，下面捡x64下不一样的说
: :
: : 首先是在DetourAttachEx时找到原始函数和Hook函数的真实代码入口点
: : 可能需要跳过import表，或者调试用间接跳转指令啥的，
: : detours.cpp里detour_skip_jmp函数就是干这个的，
: : 不过在x64下需要做一些调整，因为某些指令的数据长度跟x86不同
: : 这块代码我基本照抄mhook的实现，比detours增加了嵌套检查
: :
: :
: :
: : inline PBYTE detour_skip_jmp(PBYTE pbCode, PVOID *ppGlobals)
: :
: : {
: :
: :   if (pbCode == NULL) {
: :
: :     return NULL;
: :
: :   }
: :
: :   if (ppGlobals != NULL) {
: :
: :     *ppGlobals = NULL;
: :
: :   }
: :
: :   if (pbCode[0] == 0xff && pbCode[1] == 0x25) {   // jmp [+imm32]
: :
: :     // Looks like an import alias jump, then get the code it points to.
: :
: :     // on x64 we have a 32-bit offset...
: :
: :     PBYTE pbTarget = *(PBYTE*)(pbCode + 6 + *(INT32 *)&pbCode[2]);
: :
: :     if (detour_is_imported(pbCode, pbTarget)) {
: :
: :       PBYTE pbNew = *(PBYTE *)pbTarget;
: :
: :       DETOUR_TRACE(("%p->%p: skipped over import table./n", pbCode, pbNew));
: :
: :
: :       return pbNew;
: :
: :     }
: :
: :     return detour_skip_jmp(pbTarget, ppGlobals);
: :
: :   }
: :
: :   else if (pbCode[0] == 0xe9) {   // jmp + rel32, Near jump with the target
: :
: :     /*
: :
: :     SEH64!ILT+15(?CallThatFunctionYAHXZ):
: :
: :     00000000`00401014 e957000000      jmp     SEH64!CallThatFunction (000000
: : 00`00401070)
: :
: :     SEH64!CallThatFunction [d:/study/win64/seh64/seh64.cpp @ 11]:
: :
: :     00000000`00401070 4057            push    rdi
: :
: :     00000000`00401072 4883ec40        sub     rsp,40h
: :
: :     00000000`00401076 488bfc          mov     rdi,rsp
: :
: :     */
: :
: :     PBYTE pbNew = pbCode + 5 + *(INT32 *)&pbCode[1];
: :
: :     return detour_skip_jmp(pbNew, ppGlobals);
: :
: :   }
: :
: :   else if (pbCode[0] == 0xeb) {   // jmp +imm8
: :
: :     // These just started appearing with CL13.
: :
: :     PBYTE pbNew = pbCode + 2 + *(CHAR *)&pbCode[1];
: :
: :     return detour_skip_jmp(pbNew, ppGlobals);
: :
: :   }
: :
: :   return pbCode;
: :
: : }
: :
: : 知道入口后，detours会调用DetourCopyInstructionEx复制入口处代码
: : 其根据字节可能代表的指令，把相关信息放到s_rceCopyTable表中
: : x64下需要修改的是从0x40到0x4f这几个入口，x64指令集中用他们
: : 作为REX前缀，详细说明参见AMD architecture programmer manual volume 3
: : 1.2.7 REX Prefixes 小节中有详细讨论，这儿全部当成单字节前缀即可
: :
: : #ifdef DETOURS_X64 // For Rex Prefix
: :     { 0x40, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x41, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x42, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :
: :     { 0x43, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x44, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x45, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x46, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x47, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x48, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x49, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4A, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4B, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4C, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4D, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4E, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4F, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: : #else
: :
: : 而对FF开始的far indirect jmp/call 指令，x64也跟x86不同
: :
: : PBYTE CDetourDis::CopyFF(REFCOPYENTRY pEntry, PBYTE pbDst, PBYTE pbSrc)
: :
: : {   // CALL /2
: :
: :     // CALL /3
: :
: :     // INC /0
: :
: :     // JMP /4
: :
: :     // JMP /5
: :
: :     // PUSH /6
: :
: :     (void)pEntry;
: :
: :     if (0x15 == pbSrc[1] || 0x25 == pbSrc[1]) {         // CALL [], JMP []
: :
: : #ifdef DETOURS_X64
: :
: :         DWORD dwOffset = *((PDWORD)&pbSrc[2]);
: :
: :         *m_ppbTarget = (PBYTE)*((PDWORD_PTR)(pbSrc + 6 + dwOffset));
: :
: : #else
: :
: :         PBYTE *ppbTarget = *(PBYTE**)&pbSrc[2];
: :
: :         *m_ppbTarget = *ppbTarget;
: :
: : #endif
: :
: :     }
: :
: :     else if (0x10 == (0x38 & pbSrc[1]) || // CALL /2 --> reg(bits 543) of Mo
: : dR/M == 010
: :
: :              0x18 == (0x38 & pbSrc[1]) || // CALL /3 --> reg(bits 543) of Mo
: : dR/M == 011
: :
: :              0x20 == (0x38 & pbSrc[1]) || // JMP /4 --> reg(bits 543) of Mod
: : R/M == 100
: :
: :              0x28 == (0x38 & pbSrc[1])    // JMP /5 --> reg(bits 543) of Mod
: : R/M == 101
: :
: :             ) {
: :
: :         *m_ppbTarget = (PBYTE)DETOUR_INSTRUCTION_TARGET_DYNAMIC;
: :
: :     }
: :
: :     const COPYENTRY ce = { 0xff, ENTRY_CopyBytes2Mod };
: :
: :     return (this->*ce.pfCopy)(&ce, pbDst, pbSrc);
: :
: : }
: :
: : 拷贝了原始指令到跳板后，需要在后面增加跳回剩余指令的jmp
: : x86下面detours直接用detour_gen_jmp_immediate函数生成指令
: : 但在x64下面需要修改，因为x64下面指针是64位的，
: : 如果目标地址在当前地址前后2G范围内，可以用32位偏移跳转
: : 否则必须把地址放到内存中，然后在jmp指令指定保存地址的位置
: :
: : detours在通过detour_alloc_trampoline函数分配跳板内存时
: : 会尽量尝试把内存分配在目标函数2G范围内，避免长跳转指令
: : 这样可以确保目标函数大于5字节（near jmp) 时都能工作
: : 但这样一来就无法确保跳板跟hook函数的位置在2G内，
: : 所以x64下面必须处理这些情况，同理照抄mhook代码如下
: :
: : inline PBYTE detour_gen_jmp(PBYTE pbCode, PBYTE pbJumpTo)
: :
: : {
: :
: :   PBYTE pbJumpFrom = pbCode + 5;
: :
: :   SIZE_T cbDiff = pbJumpFrom > pbJumpTo ? pbJumpFrom - pbJumpTo : pbJumpTo -
: :  pbJumpFrom;
: :
: :   if (cbDiff <= 0x7fff0000) {
: :
: :     *pbCode++ = 0xe9;
: :
: :     *((PDWORD)pbCode) = (DWORD)(DWORD_PTR)(pbJumpTo - pbJumpFrom);
: :
: :     pbCode += sizeof(DWORD);
: :
: :   } else {
: :
: :     *pbCode++ = 0xff;
: :
: :     *pbCode++ = 0x25;
: :
: :     // on x64 we write the relative address of the same location
: :
: :     *((PDWORD)pbCode) = (DWORD)0;
: :
: :     pbCode += sizeof(DWORD);
: :
: :    
: :
: :     *((PDWORD_PTR)pbCode) = (DWORD_PTR)(pbJumpTo);
: :
: :     pbCode += sizeof(DWORD_PTR);
: :
: :   }
: :
: :   return pbCode;
: :
: : }
: :
: : 除此之外，还有一些异常情况的处理，例如暂停线程时，
: : 其RIP刚好在跳板或者目标函数入口处，理论上可以使用
: : 与x86相同的机制，不过暂时没法构造环境测试
: :
: : #ifdef DETOURS_X64
: :
: : #define DETOURS_EIP         Rip
: : #define DETOURS_EIP_TYPE    DWORD64
: :
: : #endif // DETOURS_X64
: :
: : 最后还有一些跟细节的处理，例如对ModRm下RIP的处理
: : 回头加上再一起放出完整可用的代码吧
: :
: : Reference
: :
: : 1. Microsoft Research Detours Package
: :    http://research.microsoft.com/research/downloads/Details/d36340fb-4d3c-4ddd-bf5b-1db25d03713d/Details.aspx
: :
: : 2. Mhook, an API hooking library, V2.0
: :    http://codefromthe70s.org/mhook2.asp
: :
: : 3. AMD64 Architecture Programmer’s Manual Volume 3: General-Purpose and System Instructions
: :
: : 4. Everything You Need To Know To Start Programming 64-Bit Windows Systems, Matt Pietrek
: :    http://msdn.microsoft.com/msdnmag/issues/06/05/x64/default.aspx?print=true&loc=null
: :  .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
: :  .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
: :  .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
: :  .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
: :  .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
: :  .        ……             //___/     //_____///__///____/  //_/[email protected] .
: :
: :
: : ※ 修改:·flier 于 Aug  3 01:01:35 修改本文·[FROM: 221.226.232.*]
: : ※ 来源:·水木社区 newsmth.net·[FROM: 221.226.232.*]
:
:
: --
:
: ※ 来源:·水木社区 newsmth.net·[FROM: 166.111.8.*]


--
-                     不谈金钱,不谈妇女,不谈琐事


※ 来源:·水木社区 newsmth.net·[FROM: 219.232.52.*]

 

[ 本篇全文] [本篇作者： bbinn] [ 进入讨论区] [ 返回顶部]
7
发信人: bbinn (明天的明天), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 09:03:59 2007), 站内

可能这样要好一点，就是把user break point改成 divide by 0,
就不会有别的机制抢着去处理这个异常了，就是字节多一点。



【 在 peach (换台机器挂站) 的大作中提到: 】
: 标  题: Re: Detours x64 [Draft]
: 发信站: 水木社区 (Fri Aug  3 08:32:21 2007), 站内
:
: 最近也折腾了一些这方面的东西，但不是64位的
:
: 有些想法，正好拿出来
:
: API HOOK 还可以用另外一种方法，虽然也会用到 detours 相关的技术，不过性能上有不少折扣
:
: 这种方法的核心思想就是使用 SEH，在需要 HOOK 的 API 入口处，改成一个  user break point 即可，这时候只要接管 SEH 处理函数即可，在 SEH 处理函数中，你可以修改 CONTEXT::Eip 以及其他寄存器来达到改变程序的流程的目的。
:
: 这时候有两个问题，
: 1、API入口的第一条指令。
:    a) 绝对跳转之类的指令(jmp, call)。将 user break point 移至跳转到的地址处。
:    b) 条件跳转。这种情况似乎很少见
:    c) 其他指令。移走，在其他地方执行。
:
: 2、如何接管 SEH 处理函数。
:    Detours 中有 DetourFirstChanceExceptionFilter，可以让你在第一时间处理所发生的异常。
:
: 如果需要 HOOK 的 API 不是很多，user break point 都不用加，用硬件调试寄存器就可以完成了。
:
:
: 【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: : 标  题: Detours x64 [Draft]
: : 发信站: 水木社区 (Fri Aug  3 01:01:07 2007), 站内
: :
: : 该死的路径依赖，为了折腾另外一个问题，不得不先把这个搞定 :S
: :
: : Detours我就不介绍了，MSR放出的2.1 Express版本不支持64位
: : 而据某人发邮件问，要10000刀才给授权，基本也不用想了 -_-b
: :
: : 于是乎在此基础上修修补补，基本能在x64下跑起来
: : 因为还有些bug，暂时不放完整版本出来，大概说说流程
: :
: : API Hook 基本已经是大白菜级技术，无非就是找到函数入口点
: : 替换前面几个字节为jmp，重定向到一个跳板，完成工作再跳回去
: : 详细的流程请参考detours的代码，下面捡x64下不一样的说
: :
: : 首先是在DetourAttachEx时找到原始函数和Hook函数的真实代码入口点
: : 可能需要跳过import表，或者调试用间接跳转指令啥的，
: : detours.cpp里detour_skip_jmp函数就是干这个的，
: : 不过在x64下需要做一些调整，因为某些指令的数据长度跟x86不同
: : 这块代码我基本照抄mhook的实现，比detours增加了嵌套检查
: :
: :
: :
: : inline PBYTE detour_skip_jmp(PBYTE pbCode, PVOID *ppGlobals)
: :
: : {
: :
: :   if (pbCode == NULL) {
: :
: :     return NULL;
: :
: :   }
: :
: :   if (ppGlobals != NULL) {
: :
: :     *ppGlobals = NULL;
: :
: :   }
: :
: :   if (pbCode[0] == 0xff && pbCode[1] == 0x25) {   // jmp [+imm32]
: :
: :     // Looks like an import alias jump, then get the code it points to.
: :
: :     // on x64 we have a 32-bit offset...
: :
: :     PBYTE pbTarget = *(PBYTE*)(pbCode + 6 + *(INT32 *)&pbCode[2]);
: :
: :     if (detour_is_imported(pbCode, pbTarget)) {
: :
: :       PBYTE pbNew = *(PBYTE *)pbTarget;
: :
: :       DETOUR_TRACE(("%p->%p: skipped over import table./n", pbCode, pbNew));
: :
: :
: :       return pbNew;
: :
: :     }
: :
: :     return detour_skip_jmp(pbTarget, ppGlobals);
: :
: :   }
: :
: :   else if (pbCode[0] == 0xe9) {   // jmp + rel32, Near jump with the target
: :
: :     /*
: :
: :     SEH64!ILT+15(?CallThatFunctionYAHXZ):
: :
: :     00000000`00401014 e957000000      jmp     SEH64!CallThatFunction (000000
: : 00`00401070)
: :
: :     SEH64!CallThatFunction [d:/study/win64/seh64/seh64.cpp @ 11]:
: :
: :     00000000`00401070 4057            push    rdi
: :
: :     00000000`00401072 4883ec40        sub     rsp,40h
: :
: :     00000000`00401076 488bfc          mov     rdi,rsp
: :
: :     */
: :
: :     PBYTE pbNew = pbCode + 5 + *(INT32 *)&pbCode[1];
: :
: :     return detour_skip_jmp(pbNew, ppGlobals);
: :
: :   }
: :
: :   else if (pbCode[0] == 0xeb) {   // jmp +imm8
: :
: :     // These just started appearing with CL13.
: :
: :     PBYTE pbNew = pbCode + 2 + *(CHAR *)&pbCode[1];
: :
: :     return detour_skip_jmp(pbNew, ppGlobals);
: :
: :   }
: :
: :   return pbCode;
: :
: : }
: :
: : 知道入口后，detours会调用DetourCopyInstructionEx复制入口处代码
: : 其根据字节可能代表的指令，把相关信息放到s_rceCopyTable表中
: : x64下需要修改的是从0x40到0x4f这几个入口，x64指令集中用他们
: : 作为REX前缀，详细说明参见AMD architecture programmer manual volume 3
: : 1.2.7 REX Prefixes 小节中有详细讨论，这儿全部当成单字节前缀即可
: :
: : #ifdef DETOURS_X64 // For Rex Prefix
: :     { 0x40, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x41, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x42, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :
: :     { 0x43, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x44, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x45, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x46, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x47, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x48, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x49, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4A, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4B, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4C, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4D, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4E, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: :     { 0x4F, ENTRY_CopyBytesPrefix },                    // REX Prefixes
: : #else
: :
: : 而对FF开始的far indirect jmp/call 指令，x64也跟x86不同
: :
: : PBYTE CDetourDis::CopyFF(REFCOPYENTRY pEntry, PBYTE pbDst, PBYTE pbSrc)
: :
: : {   // CALL /2
: :
: :     // CALL /3
: :
: :     // INC /0
: :
: :     // JMP /4
: :
: :     // JMP /5
: :
: :     // PUSH /6
: :
: :     (void)pEntry;
: :
: :     if (0x15 == pbSrc[1] || 0x25 == pbSrc[1]) {         // CALL [], JMP []
: :
: : #ifdef DETOURS_X64
: :
: :         DWORD dwOffset = *((PDWORD)&pbSrc[2]);
: :
: :         *m_ppbTarget = (PBYTE)*((PDWORD_PTR)(pbSrc + 6 + dwOffset));
: :
: : #else
: :
: :         PBYTE *ppbTarget = *(PBYTE**)&pbSrc[2];
: :
: :         *m_ppbTarget = *ppbTarget;
: :
: : #endif
: :
: :     }
: :
: :     else if (0x10 == (0x38 & pbSrc[1]) || // CALL /2 --> reg(bits 543) of Mo
: : dR/M == 010
: :
: :              0x18 == (0x38 & pbSrc[1]) || // CALL /3 --> reg(bits 543) of Mo
: : dR/M == 011
: :
: :              0x20 == (0x38 & pbSrc[1]) || // JMP /4 --> reg(bits 543) of Mod
: : R/M == 100
: :
: :              0x28 == (0x38 & pbSrc[1])    // JMP /5 --> reg(bits 543) of Mod
: : R/M == 101
: :
: :             ) {
: :
: :         *m_ppbTarget = (PBYTE)DETOUR_INSTRUCTION_TARGET_DYNAMIC;
: :
: :     }
: :
: :     const COPYENTRY ce = { 0xff, ENTRY_CopyBytes2Mod };
: :
: :     return (this->*ce.pfCopy)(&ce, pbDst, pbSrc);
: :
: : }
: :
: : 拷贝了原始指令到跳板后，需要在后面增加跳回剩余指令的jmp
: : x86下面detours直接用detour_gen_jmp_immediate函数生成指令
: : 但在x64下面需要修改，因为x64下面指针是64位的，
: : 如果目标地址在当前地址前后2G范围内，可以用32位偏移跳转
: : 否则必须把地址放到内存中，然后在jmp指令指定保存地址的位置
: :
: : detours在通过detour_alloc_trampoline函数分配跳板内存时
: : 会尽量尝试把内存分配在目标函数2G范围内，避免长跳转指令
: : 这样可以确保目标函数大于5字节（near jmp) 时都能工作
: : 但这样一来就无法确保跳板跟hook函数的位置在2G内，
: : 所以x64下面必须处理这些情况，同理照抄mhook代码如下
: :
: : inline PBYTE detour_gen_jmp(PBYTE pbCode, PBYTE pbJumpTo)
: :
: : {
: :
: :   PBYTE pbJumpFrom = pbCode + 5;
: :
: :   SIZE_T cbDiff = pbJumpFrom > pbJumpTo ? pbJumpFrom - pbJumpTo : pbJumpTo -
: :  pbJumpFrom;
: :
: :   if (cbDiff <= 0x7fff0000) {
: :
: :     *pbCode++ = 0xe9;
: :
: :     *((PDWORD)pbCode) = (DWORD)(DWORD_PTR)(pbJumpTo - pbJumpFrom);
: :
: :     pbCode += sizeof(DWORD);
: :
: :   } else {
: :
: :     *pbCode++ = 0xff;
: :
: :     *pbCode++ = 0x25;
: :
: :     // on x64 we write the relative address of the same location
: :
: :     *((PDWORD)pbCode) = (DWORD)0;
: :
: :     pbCode += sizeof(DWORD);
: :
: :    
: :
: :     *((PDWORD_PTR)pbCode) = (DWORD_PTR)(pbJumpTo);
: :
: :     pbCode += sizeof(DWORD_PTR);
: :
: :   }
: :
: :   return pbCode;
: :
: : }
: :
: : 除此之外，还有一些异常情况的处理，例如暂停线程时，
: : 其RIP刚好在跳板或者目标函数入口处，理论上可以使用
: : 与x86相同的机制，不过暂时没法构造环境测试
: :
: : #ifdef DETOURS_X64
: :
: : #define DETOURS_EIP         Rip
: : #define DETOURS_EIP_TYPE    DWORD64
: :
: : #endif // DETOURS_X64
: :
: : 最后还有一些跟细节的处理，例如对ModRm下RIP的处理
: : 回头加上再一起放出完整可用的代码吧
: :
: : Reference
: :
: : 1. Microsoft Research Detours Package
: :    http://research.microsoft.com/research/downloads/Details/d36340fb-4d3c-4ddd-bf5b-1db25d03713d/Details.aspx
: :
: : 2. Mhook, an API hooking library, V2.0
: :    http://codefromthe70s.org/mhook2.asp
: :
: : 3. AMD64 Architecture Programmer’s Manual Volume 3: General-Purpose and System Instructions
: :
: : 4. Everything You Need To Know To Start Programming 64-Bit Windows Systems, Matt Pietrek
: :    http://msdn.microsoft.com/msdnmag/issues/06/05/x64/default.aspx?print=true&loc=null
: :  .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
: :  .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
: :  .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
: :  .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
: :  .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
: :  .        ……             //___/     //_____///__///____/  //_/[email protected] .
: :
: :
: : ※ 修改:·flier 于 Aug  3 01:01:35 修改本文·[FROM: 221.226.232.*]
: : ※ 来源:·水木社区 newsmth.net·[FROM: 221.226.232.*]
:
:
: --
:
: ※ 来源:·水木社区 newsmth.net·[FROM: 166.111.8.*]


--
-                     不谈金钱,不谈妇女,不谈琐事


※ 来源:·水木社区 newsmth.net·[FROM: 219.232.52.*]

 

[ 本篇全文] [本篇作者： Quaful] [ 进入讨论区] [ 返回顶部]
8
发信人: Quaful (夸父|嗯), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 09:17:44 2007), 站内

问一下，这种方法有什么好处吗？呵呵
可以不修改入口代码（如果用hardware breakpoint？）

【 在 peach (换台机器挂站) 的大作中提到: 】
: 最近也折腾了一些这方面的东西，但不是64位的
: 有些想法，正好拿出来
: API HOOK 还可以用另外一种方法，虽然也会用到 detours 相关的技术，不过性能上有不少折扣
: ...................

--

※ 来源:·水木社区 newsmth.net·[FROM: 202.165.107.*]

 

[ 本篇全文] [本篇作者： peach] [ 进入讨论区] [ 返回顶部]
9
发信人: peach (换台机器挂站), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 09:26:12 2007), 站内

好处不多，只是一种方法而已，可能会有它的适用场合。
但使用 hardware breakpoint 的时候会好处多多的

1、可以不修改入口代码
2、可以灵活的控制Hook与否
3、再进一步，都可以使用单步执行中断，自己调试自己。

我之所以弄这些，是因为最近在写脱壳程序来自动脱 asprotect 的壳。脱壳代码是个 dll ，注入到远程进程后，自己调试自己进行脱壳，这些方法还是很方便实用的。


【 在 Quaful (夸父|嗯) 的大作中提到: 】
: 标  题: Re: Detours x64 [Draft]
: 发信站: 水木社区 (Fri Aug  3 09:17:44 2007), 站内
:
: 问一下，这种方法有什么好处吗？呵呵
: 可以不修改入口代码（如果用hardware breakpoint？）
:
: 【 在 peach (换台机器挂站) 的大作中提到: 】
: : 最近也折腾了一些这方面的东西，但不是64位的
: : 有些想法，正好拿出来
: : API HOOK 还可以用另外一种方法，虽然也会用到 detours 相关的技术，不过性能上有不少折扣
: : ...................
:
: --
:
: ※ 来源:·水木社区 newsmth.net·[FROM: 202.165.107.*]


--

※ 来源:·水木社区 newsmth.net·[FROM: 166.111.8.*]

 

[ 本篇全文] [本篇作者： bbinn] [ 进入讨论区] [ 返回顶部]
10
发信人: bbinn (明天的明天), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 09:41:02 2007), 站内

还是这个好啊，实现起来也容易。

【 在 Quaful (夸父|嗯) 的大作中提到: 】
: 标  题: Re: Detours x64 [Draft]
: 发信站: 水木社区 (Fri Aug  3 09:17:44 2007), 站内
:
: 问一下，这种方法有什么好处吗？呵呵
: 可以不修改入口代码（如果用hardware breakpoint？）
:
: 【 在 peach (换台机器挂站) 的大作中提到: 】
: : 最近也折腾了一些这方面的东西，但不是64位的
: : 有些想法，正好拿出来
: : API HOOK 还可以用另外一种方法，虽然也会用到 detours 相关的技术，不过性能上有不少折扣
: : ...................
:
: --
:
: ※ 来源:·水木社区 newsmth.net·[FROM: 202.165.107.*]


--
-                     不谈金钱,不谈妇女,不谈琐事


※ 来源:·水木社区 newsmth.net·[FROM: 219.232.52.*]

 

[ 本篇全文] [本篇作者： flier] [ 进入讨论区] [ 返回顶部]
11
发信人: flier (小海 [渴望并不存在的完美]), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 09:44:47 2007), 站内

硬件断点的话，同时支持数有限，只适用于小规模应用情况
我前段也写过一个进程内硬件断点抓指令和数据访问的，
效果不错但真要同时处理一堆入口，得切换来切换去挺麻烦

如果有类似需求，我考虑的另外一个解决方案是利用VM的支持
强制把os切换到VM guest模式下，通过注入特权指令
让目标进程跳回到VMM的VMExit处理模式下来获取控制权

优点是完全硬件支持理论上对被调试进程透明难以检测
缺点是实现较为复杂，需要有核心态驱动提供后台支持
不过技术上应该是完全可行的，有rootkit已经用上类似技术

就目前来说大部分应用程序还没有考虑到对硬件VM的检测
应该还是能工作一段时间的，呵呵，也就赶个早而已
等以后硬件VM大规模使用，到时候又是另外的头痛问题 :P

【 在 peach (换台机器挂站) 的大作中提到: 】
: 标  题: Re: Detours x64 [Draft]
: 发信站: 水木社区 (Fri Aug  3 09:26:12 2007), 站内
:
: 好处不多，只是一种方法而已，可能会有它的适用场合。
: 但使用 hardware breakpoint 的时候会好处多多的
:
: 1、可以不修改入口代码
: 2、可以灵活的控制Hook与否
: 3、再进一步，都可以使用单步执行中断，自己调试自己。
:
: 我之所以弄这些，是因为最近在写脱壳程序来自动脱 asprotect 的壳。脱壳代码是个 dll ，注入到远程进程后，自己调试自己进行脱壳，这些方法还是很方便实用的。
:
:
: 【 在 Quaful (夸父|嗯) 的大作中提到: 】
: : 标  题: Re: Detours x64 [Draft]
: : 发信站: 水木社区 (Fri Aug  3 09:17:44 2007), 站内
: :
: : 问一下，这种方法有什么好处吗？呵呵
: : 可以不修改入口代码（如果用hardware breakpoint？）
: :
: : 【 在 peach (换台机器挂站) 的大作中提到: 】
: : : 最近也折腾了一些这方面的东西，但不是64位的
: : : 有些想法，正好拿出来
: : : API HOOK 还可以用另外一种方法，虽然也会用到 detours 相关的技术，不过性能上有不少折扣
: : : ...................
: :
: : --
: :
: : ※ 来源:·水木社区 newsmth.net·[FROM: 202.165.107.*]
:
:
: --
:
: ※ 来源:·水木社区 newsmth.net·[FROM: 166.111.8.*]


--
 .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
 .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
 .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
 .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
 .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
 .        ……             //___/     //_____///__///____/  //_/[email protected] .


※ 来源:·水木社区 newsmth.net·[FROM: 218.104.127.*]

 

[ 本篇全文] [本篇作者： peach] [ 进入讨论区] [ 返回顶部]
12
发信人: peach (换台机器挂站), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 09:55:18 2007), 站内


【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: 标  题: Re: Detours x64 [Draft]
: 发信站: 水木社区 (Fri Aug  3 09:44:47 2007), 站内
:
: 硬件断点的话，同时支持数有限，只适用于小规模应用情况
: 我前段也写过一个进程内硬件断点抓指令和数据访问的，
: 效果不错但真要同时处理一堆入口，得切换来切换去挺麻烦
没错，适用场合有限
:
: 如果有类似需求，我考虑的另外一个解决方案是利用VM的支持
: 强制把os切换到VM guest模式下，通过注入特权指令
: 让目标进程跳回到VMM的VMExit处理模式下来获取控制权
:
: 优点是完全硬件支持理论上对被调试进程透明难以检测
: 缺点是实现较为复杂，需要有核心态驱动提供后台支持
: 不过技术上应该是完全可行的，有rootkit已经用上类似技术
想法很好 :) 你若有时间给大家写一个吧
:
: 就目前来说大部分应用程序还没有考虑到对硬件VM的检测
: 应该还是能工作一段时间的，呵呵，也就赶个早而已
: 等以后硬件VM大规模使用，到时候又是另外的头痛问题 :P
不管什么东西，一旦流行，新的问题就会接踵而至啊
:
: 【 在 peach (换台机器挂站) 的大作中提到: 】
: : 标  题: Re: Detours x64 [Draft]
: : 发信站: 水木社区 (Fri Aug  3 09:26:12 2007), 站内
: :
: : 好处不多，只是一种方法而已，可能会有它的适用场合。
: : 但使用 hardware breakpoint 的时候会好处多多的
: :
: : 1、可以不修改入口代码
: : 2、可以灵活的控制Hook与否
: : 3、再进一步，都可以使用单步执行中断，自己调试自己。
: :
: : 我之所以弄这些，是因为最近在写脱壳程序来自动脱 asprotect 的壳。脱壳代码是个 dll ，注入到远程进程后，自己调试自己进行脱壳，这些方法还是很方便实用的。
: :
: :
: : 【 在 Quaful (夸父|嗯) 的大作中提到: 】
: : : 标  题: Re: Detours x64 [Draft]
: : : 发信站: 水木社区 (Fri Aug  3 09:17:44 2007), 站内
: : :
: : : 问一下，这种方法有什么好处吗？呵呵
: : : 可以不修改入口代码（如果用hardware breakpoint？）
: : :
: : : 【 在 peach (换台机器挂站) 的大作中提到: 】
: : : : 最近也折腾了一些这方面的东西，但不是64位的
: : : : 有些想法，正好拿出来
: : : : API HOOK 还可以用另外一种方法，虽然也会用到 detours 相关的技术，不过性能上有不少折扣
: : : : ...................
: : :
: : : --
: : :
: : : ※ 来源:·水木社区 newsmth.net·[FROM: 202.165.107.*]
: :
: :
: : --
: :
: : ※ 来源:·水木社区 newsmth.net·[FROM: 166.111.8.*]
:
:
: --
:  .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
:  .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
:  .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
:  .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
:  .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
:  .        ……             //___/     //_____///__///____/  //_/[email protected] .
:
:
: ※ 来源:·水木社区 newsmth.net·[FROM: 218.104.127.*]


--

※ 来源:·水木社区 newsmth.net·[FROM: 166.111.8.*]

 

[ 本篇全文] [本篇作者： flier] [ 进入讨论区] [ 返回顶部]
13
发信人: flier (小海 [渴望并不存在的完美]), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug  3 10:11:05 2007), 站内


【 在 peach (换台机器挂站) 的大作中提到: 】
: 没错，适用场合有限
: 想法很好 :) 你若有时间给大家写一个吧
-_-b

这块内容前段倒是看过一些，
但从头弄一个出来太麻烦了，
回头找找有没有现成的改改 :S

: 不管什么东西，一旦流行，新的问题就会接踵而至啊
: ...................

--
 .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
 .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
 .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
 .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
 .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
 .        ……             //___/     //_____///__///____/  //_/[email protected] .


※ 来源:·水木社区 newsmth.net·[FROM: 218.104.127.*]

 

[ 本篇全文] [本篇作者： chice] [ 进入讨论区] [ 返回顶部]
14
发信人: chice (do the right thing), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Fri Aug 10 10:33:17 2007), 站内

赞啊！

不过vista里面搞钩子好像跟UAC总是不和谐……

【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: 该死的路径依赖，为了折腾另外一个问题，不得不先把这个搞定 :S
: Detours我就不介绍了，MSR放出的2.1 Express版本不支持64位
: 而据某人发邮件问，要10000刀才给授权，基本也不用想了 -_-b
: ...................

--
理论上，理论与实际没有差距
实际上，理论与实际差距很大……


※ 来源:·水木社区 newsmth.net·[FROM: 68.181.255.*]

 

[ 本篇全文] [本篇作者： laoduan] [ 进入讨论区] [ 返回顶部]
15
发信人: laoduan (铁鞋踏破也要找到你), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Sun Aug 12 20:45:38 2007), 站内

一点提醒：使用SEH机制，效率可能会有些折扣。。。

【 在 peach (换台机器挂站) 的大作中提到: 】
: 最近也折腾了一些这方面的东西，但不是64位的
: 有些想法，正好拿出来
: API HOOK 还可以用另外一种方法，虽然也会用到 detours 相关的技术，不过性能上有不少折扣
: ...................

--

     谨代表《金瓶梅》剧组感谢BTV和狐媚导演，是他们耗费了大量的
     人力、物力，帮我们选出了如此合适的李萍儿和潘金莲人选。。。


※ 来源:·水木社区 newsmth.net·[FROM: 123.113.203.*]

 

[ 本篇全文] [本篇作者： laoduan] [ 进入讨论区] [ 返回顶部]
16
发信人: laoduan (铁鞋踏破也要找到你), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Sun Aug 12 20:47:18 2007), 站内

用VM面临着一个大问题，那就是I家和A家的做法并不兼容。。。

【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: 硬件断点的话，同时支持数有限，只适用于小规模应用情况
: 我前段也写过一个进程内硬件断点抓指令和数据访问的，
: 效果不错但真要同时处理一堆入口，得切换来切换去挺麻烦
: ...................

--

     谨代表《金瓶梅》剧组感谢BTV和狐媚导演，是他们耗费了大量的
     人力、物力，帮我们选出了如此合适的李萍儿和潘金莲人选。。。


※ 修改:·laoduan 于 Aug 12 21:24:13 修改本文·[FROM: 123.113.203.*]
※ 来源:·水木社区 newsmth.net·[FROM: 123.113.203.*]

 

[ 本篇全文] [本篇作者： flier] [ 进入讨论区] [ 返回顶部]
17
发信人: flier (小海 [渴望并不存在的完美]), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Mon Aug 13 01:15:18 2007), 站内

其实还好了，虽然一些细节上有出入，
但大的功能方面基本能对应上就行
貌似xen里面已经做了个抽象层来封装

比较麻烦的是对I/O的处理，
这块貌似大家都还没太好办法

【 在 laoduan (铁鞋踏破也要找到你) 的大作中提到: 】
: 用VM面临着一个大问题，那就是I家和A家的做法并不兼容。。。


--
 .    生命的意义在于   //   ____/ //_ /   //_/     http://flier_lu.blogcn.com .                          
 .        希望         / /  /___/_/// /   //_/__     __    _ _★              .
 .        工作          / /   ____// / /    //  /  /'__`/ //`'_/              .
 .      爱你的人         / /  /___/ / / /___/ /  /// __// / / //              .
 .     和你爱的人         / /___/    / /_____/ /__/ /____/ / /_/              .
 .        ……             //___/     //_____///__///____/  //_/[email protected] .


※ 来源:·水木社区 newsmth.net·[FROM: 221.226.232.*]

 

[ 本篇全文] [本篇作者： laoduan] [ 进入讨论区] [ 返回顶部]
18
发信人: laoduan (铁鞋踏破也要找到你), 信区: MSDN
标  题: Re: Detours x64 [Draft]
发信站: 水木社区 (Mon Aug 13 23:06:17 2007), 站内

等VT-d和VMDq出来。。。

【 在 flier (小海 [渴望并不存在的完美]) 的大作中提到: 】
: 其实还好了，虽然一些细节上有出入，
: 但大的功能方面基本能对应上就行
: 貌似xen里面已经做了个抽象层来封装
: ...................

--

     谨代表《金瓶梅》剧组感谢BTV和狐媚导演，是他们耗费了大量的
     人力、物力，帮我们选出了如此合适的李萍儿和潘金莲人选。。。


※ 来源:·水木社区 newsmth.net·[FROM: 123.113.203.*]

你可能感兴趣的:(api,Microsoft,null,express,import,hook)

  • LocalDateTime 转 String igotyback java开发语言
    importjava.time.LocalDateTime;importjava.time.format.DateTimeFormatter;publicclassMain{publicstaticvoidmain(String[]args){//获取当前时间LocalDateTimenow=LocalDateTime.now();//定义日期格式化器DateTimeFormatterformat
  • swagger访问路径 igotyback swagger
    Swagger2.x版本访问地址：http://{ip}:{port}/{context-path}/swagger-ui.html{ip}是你的服务器IP地址。{port}是你的应用服务端口，通常为8080。{context-path}是你的应用上下文路径，如果应用部署在根路径下，则为空。Swagger3.x版本对于Swagger3.x版本（也称为OpenAPI3）访问地址：http://{ip
  • ArcGIS栅格计算器常见公式（赋值、0和空值的转换、补充栅格空值） 研学随笔 arcgis经验分享
    我们在使用ArcGIS时通常经常用到栅格计算器，今天主要给大家介绍我日常中经常用到的几个公式，供大家参考学习。将特定值（-9999）赋值为0，例如-9999.Con("raster"==-9999,0,"raster")2.给空值赋予特定的值（如0）Con(IsNull("raster"),0,"raster")3.将特定的栅格值(如1)赋值为空值，其他保留原值SetNull("raster"==
  • C#中使用split分割字符串 互联网打工人no1 c#
    1、用字符串分隔：usingSystem.Text.RegularExpressions;stringstr="aaajsbbbjsccc";string[]sArray=Regex.Split(str,"js",RegexOptions.IgnoreCase);foreach(stringiinsArray)Response.Write(i.ToString()+"");输出结果：aaabbbc
  • python os.environ_python os.environ 读取和设置环境变量 weixin_39605414 pythonos.environ
    >>>importos>>>os.environ.keys()['LC_NUMERIC','GOPATH','GOROOT','GOBIN','LESSOPEN','SSH_CLIENT','LOGNAME','USER','HOME','LC_PAPER','PATH','DISPLAY','LANG','TERM','SHELL','J2REDIR','LC_MONETARY','QT_QPA
  • 四章-32-点要素的聚合 彩云飘过
    本文基于腾讯课堂老胡的课《跟我学Openlayers--基础实例详解》做的学习笔记，使用的openlayers5.3.xapi。源码见1032.html，对应的官网示例https://openlayers.org/en/latest/examples/cluster.htmlhttps://openlayers.org/en/latest/examples/earthquake-clusters.
  • 从0到500+，我是如何利用自媒体赚钱？ 一列脚印
    运营公众号半个多月，从零基础的小白到现在慢慢懂了一些运营的知识。做好公众号是很不容易的，要做很多事情；排版、码字、引流…通通需要自己解决，业余时间全都花费在这上面涨这么多粉丝是真的不容易，对比知乎大佬来说，我们这种没资源，没人脉，还没钱的小透明来说，想要一个月涨粉上万，怕是今天没睡醒（不过你有的方法，算我piapia打脸）至少我是清醒的，自己慢慢努力，实现我的万粉目标！大家快来围观、支持我吧！孩子
  • 使用Apify加载Twitter消息以进行微调的完整指南 nseejrukjhad twittereasyui前端python
    #使用Apify加载Twitter消息以进行微调的完整指南##引言在自然语言处理领域，微调模型以适应特定任务是提升模型性能的常见方法。本文将介绍如何使用Apify从Twitter导出聊天信息，以便进一步进行微调。##主要内容###使用Apify导出推文首先，我们需要从Twitter导出推文。Apify可以帮助我们做到这一点。通过Apify的强大功能，我们可以批量抓取和导出数据，适用于各类应用场景。
  • 利用Requests Toolkit轻松完成HTTP请求 nseejrukjhad http网络协议网络python
    RequestsToolkit的力量：轻松构建HTTP请求Agent在现代软件开发中，API请求是与外部服务交互的核心。RequestsToolkit提供了一种便捷的方式，帮助开发者构建自动化的HTTP请求Agent。本文旨在详细介绍RequestsToolkit的设置、使用和潜在挑战。引言RequestsToolkit是一个强大的工具包，可用于构建执行HTTP请求的智能代理。这对于想要自动化与外
  • git - Webhook让部署自动化 大猪大猪
    我们现在有一个需求，将项目打包上传到gitlab或者github后，程序能自动部署，不用手动地去服务器中进行项目更新并运行，如何做到？这里我们可以使用gitlab与github的挂钩，挂钩的原理就是，每当我们有请求到gitlab与github服务器时，这时他俩会根据我们配置的挂钩地扯进行访问，webhook挂钩程序会一直监听着某个端口请求，一但收到他们发过来的请求，这时就知道用户有请求提交了，这时
  • python os 环境变量 CV矿工 python开发语言numpy
    环境变量：环境变量是程序和操作系统之间的通信方式。有些字符不宜明文写进代码里，比如数据库密码，个人账户密码，如果写进自己本机的环境变量里，程序用的时候通过os.environ.get（）取出来就行了。os.environ是一个环境变量的字典。环境变量的相关操作importos"""设置/修改环境变量：os.environ[‘环境变量名称’]=‘环境变量值’#其中key和value均为string类
  • SpringBlade dict-biz/list 接口 SQL 注入漏洞 文章永久免费只为良心 oracle数据库
    SpringBladedict-biz/list接口SQL注入漏洞POC:构造请求包查看返回包你的网址/api/blade-system/dict-biz/list?updatexml(1,concat(0x7e,md5(1),0x7e),1)=1漏洞概述在SpringBlade框架中，如果dict-biz/list接口的后台处理逻辑没有正确地对用户输入进行过滤或参数化查询（PreparedSta
  • 推荐算法_隐语义-梯度下降 _feivirus_ 算法机器学习和数学推荐算法机器学习隐语义
    importnumpyasnp1.模型实现"""inputrate_matrix:M行N列的评分矩阵，值为P*Q.P:初始化用户特征矩阵M*K.Q:初始化物品特征矩阵K*N.latent_feature_cnt:隐特征的向量个数max_iteration:最大迭代次数alpha:步长lamda:正则化系数output分解之后的P和Q"""defLFM_grad_desc(rate_matrix,l
  • 自然语言处理_tf-idf _feivirus_ 算法机器学习和数学自然语言处理tf-idf逆文档频率词频
    importpandasaspdimportmath1.数据预处理docA="Thecatsatonmyface"docB="Thedogsatonmybed"wordsA=docA.split("")wordsB=docB.split("")wordsSet=set(wordsA).union(set(wordsB))print(wordsSet){'on','my','face','sat',
  • K近邻算法_分类鸢尾花数据集 _feivirus_ 算法机器学习和数学分类机器学习K近邻
    importnumpyasnpimportpandasaspdfromsklearn.datasetsimportload_irisfromsklearn.model_selectionimporttrain_test_splitfromsklearn.metricsimportaccuracy_score1.数据预处理iris=load_iris()df=pd.DataFrame(data=ir
  • 用Python实现简单的猜数字游戏 程序媛了了 python游戏java
    猜数字游戏代码：importrandomdefpythonit():a=random.randint(1,100)n=int(input("输入你猜想的数字："))whilen!=a:ifn>a:print("很遗憾，猜大了")n=int(input("请再次输入你猜想的数字："))elifna::如果玩家猜的数字n大于随机数字a，则输出"很遗憾，猜大了"，并提示玩家再次输入。elifn
  • 用Python实现读取统计单词个数 程序媛了了 python游戏java
    完整实例代码：fromcollectionsimportCounterdefpythonit():danci={}withopen("pythonit.txt","r",encoding="utf-8")asf:foriinf:words=i.strip().split()forwordinwords:ifwordnotindanci:danci[word]=1else:danci[word]+=
  • python多线程程序设计 之一 IT_Beijing_BIT #Python程序设计语言python
    python多线程程序设计之一全局解释器锁线程APIsthreading.active_count()threading.current_thread()threading.excepthook(args,/)threading.get_native_id()threading.main_thread()threading.stack_size([size])线程对象成员函数构造器start/ru
  • ArrayList 源码解析 程序猿进阶 Java基础ArrayListListjava面试性能优化架构设计idea
    ArrayList是Java集合框架中的一个动态数组实现，提供了可变大小的数组功能。它继承自AbstractList并实现了List接口，是顺序容器，即元素存放的数据与放进去的顺序相同，允许放入null元素，底层通过数组实现。除该类未实现同步外，其余跟Vector大致相同。每个ArrayList都有一个容量capacity，表示底层数组的实际大小，容器内存储元素的个数不能多于当前容量。当向容器中添
  • python tif转png Python与遥感 python开发语言
    importosfromosgeoimportgdalimportnumpyasnpfromPILimportImage#提取432三波段fromspectralimport*#输入文件夹路径defget_img(dataset_img):width=dataset_img.RasterXSize#获取行列数height=dataset_img.RasterYSizebands=dataset_i
  • python怎么将png转为tif_png转tif weixin_39977276
    发国外的文章要求图片是tif，cmyk色彩空间的。大小尺寸还有要求。比如网上大神多，找到了一段代码，感谢！https://www.jianshu.com/p/ec2af4311f56https://github.com/KevinZc007/image2Tifimportjava.awt.image.BufferedImage;importjava.io.File;importjava.io.Fi
  • python批量读取tiff文件_Python Pillow批量转换tif格式到jpg weixin_39557797
    最近因为想要整下网站的壁纸，从网站下载了别人整理好的合集压缩包，解压之后，却发现里面的文件都是tif的，tif格式网站和电脑都不认的，根本不能作壁纸。这时候，就需要转换图片格式了，首先我找了几款转换格式的软件，发现效果都不好，要不是不支持tif格式，要不就是转换出来的图片糊的不行。最终，还是决定用Python的Pillow库来写一个脚本，完成这个任务。下面是整个的小脚本----importosim
  • react-intl——react国际化使用方案 苹果酱0567 面试题汇总与解析java开发语言中间件springboot后端
    国际化介绍i18n：internationalization国家化简称，首字母+首尾字母间隔的字母个数+尾字母，类似的还有k8s(Kubernetes)React-intl是React中最受欢迎的库。使用步骤安装#usenpmnpminstallreact-intl-D#useyarn项目入口文件配置//index.tsximportReactfrom"react";importReactDOMf
  • tiff批量转png 诺有缸的高飞鸟 opencv图像处理pythonopencv图像处理
    目录写在前面代码完写在前面1、本文内容tiff批量转png2、平台/环境opencv,python3、转载请注明出处：https://blog.csdn.net/qq_41102371/article/details/132975023代码importnumpyasnpimportcv2importosdeffindAllFile(base):file_list=[]forroot,ds,fsin
  • 笋丁网页自动回复机器人V3.0.0免授权版源码 希希分享 软希网58soho_cn源码资源笋丁网页自动回复机器人
    笋丁网页机器人一款可设置自动回复，默认消息，调用自定义api接口的网页机器人。此程序后端语言使用Golang，内存占用最高不超过30MB，1H1G服务器流畅运行。仅支持Linux服务器部署，不支持虚拟主机，请悉知！使用自定义api功能需要有一定的建站基础。源码下载：https://download.csdn.net/download/m0_66047725/89754250更多资源下载：关注我。安
  • Spring Boot中实现跨域请求 BABA8891 springboot后端java
    在SpringBoot中实现跨域请求（CORS，Cross-OriginResourceSharing）可以通过多种方式，以下是几种常见的方法：1.使用@CrossOrigin注解在SpringBoot中，你可以在控制器或者具体的请求处理方法上使用@CrossOrigin注解来允许跨域请求。在控制器上应用：importorg.springframework.web.bind.annotation.
  • WebMagic：强大的Java爬虫框架解析与实战 Aaron_945 Javajava爬虫开发语言
    文章目录引言官网链接WebMagic原理概述基础使用1.添加依赖2.编写PageProcessor高级使用1.自定义Pipeline2.分布式抓取优点结论引言在大数据时代，网络爬虫作为数据收集的重要工具，扮演着不可或缺的角色。Java作为一门广泛使用的编程语言，在爬虫开发领域也有其独特的优势。WebMagic是一个开源的Java爬虫框架，它提供了简单灵活的API，支持多线程、分布式抓取，以及丰富的
  • 博客网站制作教程 2401_85194651 javamaven
    首先就是技术框架：后端：Java+SpringBoot数据库：MySQL前端：Vue.js数据库连接：JPA(JavaPersistenceAPI)1.项目结构blog-app/├──backend/│├──src/main/java/com/example/blogapp/││├──BlogApplication.java││├──config/│││└──DatabaseConfig.java
  • GenVisR 基因组数据可视化实战(三) 11的雾
    3.genCov画每个突变位点附件的coverage，跟igv有点相似。这个操作起来很复杂，但是图还是挺有用的。可以考虑。由于我的referencegenomebuild是hg38BiocManager::install(c("TxDb.Hsapiens.UCSC.hg38.knownGene","BSgenome.Hsapiens.UCSC.hg38"))library(TxDb.Hsapien
  • COCO 格式的数据集转化为 YOLO 格式的数据集 QYQY77 YOLOpython
    """--json_path输入的json文件路径--save_path保存的文件夹名字，默认为当前目录下的labels。"""importosimportjsonfromtqdmimporttqdmimportargparseparser=argparse.ArgumentParser()parser.add_argument('--json_path',default='./instances
  • java线程的无限循环和退出 3213213333332132 java
    最近想写一个游戏，然后碰到有关线程的问题，网上查了好多资料都没满足。 突然想起了前段时间看的有关线程的视频，于是信手拈来写了一个线程的代码片段。 希望帮助刚学java线程的童鞋 package thread; import java.text.SimpleDateFormat; import java.util.Calendar; import java.util.Date
  • tomcat 容器 BlueSkator tomcatWebservlet
    Tomcat的组成部分 1、server A Server element represents the entire Catalina servlet container. (Singleton) 2、service service包括多个connector以及一个engine，其职责为处理由connector获得的客户请求。   3、connector 一个connector
  • php递归,静态变量,匿名函数使用 dcj3sjt126com PHP递归函数匿名函数静态变量引用传参
      <!doctype html> <html lang="en"> <head> <meta charset="utf-8"> <title>Current To-Do List</title> </head> <body>
  • 属性颜色字体变化 周华华 JavaScript
    function changSize(className){ var diva=byId("fot") diva.className=className; } </script> <style type="text/css"> .max{ background: #900; color:#039;
  • 将properties内容放置到map中 g21121 properties
    代码比较简单： private static Map<Object, Object> map; private static Properties p; static { //读取properties文件 InputStream is = XXX.class.getClassLoader().getResourceAsStream("xxx.properti
  • [简单]拼接字符串 53873039oycg 字符串
             工作中遇到需要从Map里面取值拼接字符串的情况，自己写了个，不是很好，欢迎提出更优雅的写法，代码如下：           import java.util.HashMap; import java.uti
  • Struts2学习 云端月影
    最近开始关注struts2的新特性，从这个版本开始，Struts开始使用convention-plugin代替codebehind-plugin来实现struts的零配置。 配置文件精简了，的确是简便了开发过程，但是，我们熟悉的配置突然disappear了，真是一下很不适应。跟着潮流走吧，看看该怎样来搞定convention-plugin。 使用Convention插件，你需要将其JAR文件放
  • Java新手入门的30个基本概念二 aijuans java新手java 入门
    基本概念:　　1.OOP中唯一关系的是对象的接口是什么,就像计算机的销售商她不管电源内部结构是怎样的,他只关系能否给你提供电就行了,也就是只要知道can or not而不是how and why.所有的程序是由一定的属性和行为对象组成的,不同的对象的访问通过函数调用来完成,对象间所有的交流都是通过方法调用,通过对封装对象数据,很大限度上提高复用率。　　2.OOP中最重要的思想是类,类是模板是蓝图,
  • jedis 简单使用 antlove javarediscachecommandjedis
    jedis.RedisOperationCollection.java package jedis; import org.apache.log4j.Logger; import redis.clients.jedis.Jedis; import java.util.List; import java.util.Map; import java.util.Set; pub
  • PL/SQL的函数和包体的基础 百合不是茶 PL/SQL编程函数包体显示包的具体数据包
    由于明天举要上课,所以刚刚将代码敲了一遍PL/SQL的函数和包体的实现(单例模式过几天好好的总结下再发出来);以便明天能更好的学习PL/SQL的循环,今天太累了,所以早点睡觉,明天继续PL/SQL总有一天我会将你永远的记载在心里,,,   函数; 函数:PL/SQL中的函数相当于java中的方法;函数有返回值 定义函数的 --输入姓名找到该姓名的年薪 create or re
  • Mockito(二)--实例篇 bijian1013 持续集成mockito单元测试
            学习了基本知识后，就可以实战了，Mockito的实际使用还是比较麻烦的。因为在实际使用中，最常遇到的就是需要模拟第三方类库的行为。         比如现在有一个类FTPFileTransfer，实现了向FTP传输文件的功能。这个类中使用了a
  • 精通Oracle10编程SQL(7)编写控制结构 bijian1013 oracle数据库plsql
    /* *编写控制结构 */ --条件分支语句 --简单条件判断 DECLARE v_sal NUMBER(6,2); BEGIN select sal into v_sal from emp where lower(ename)=lower('&name'); if v_sal<2000 then update emp set
  • 【Log4j二】Log4j属性文件配置详解 bit1129 log4j
    如下是一个log4j.properties的配置   log4j.rootCategory=INFO, stdout , R log4j.appender.stdout=org.apache.log4j.ConsoleAppender log4j.appender.stdout.layout=org.apache.log4j.PatternLayout log4j.appe
  • java集合排序笔记 白糖_ java
    public class CollectionDemo implements Serializable,Comparable<CollectionDemo>{ private static final long serialVersionUID = -2958090810811192128L; private int id; private String nam
  • java导致linux负载过高的定位方法 ronin47
    定位java进程ID 可以使用top或ps -ef |grep java ![图片描述][1] 根据进程ID找到最消耗资源的java pid 比如第一步找到的进程ID为5431 执行 top -p 5431 -H ![图片描述][2] 打印java栈信息 $ jstack -l 5431 > 5431.log 在栈信息中定位具体问题 将消耗资源的Java PID转
  • 给定能随机生成整数1到5的函数，写出能随机生成整数1到7的函数 bylijinnan 函数
    import java.util.ArrayList; import java.util.List; import java.util.Random; public class RandNFromRand5 { /** 题目：给定能随机生成整数1到5的函数，写出能随机生成整数1到7的函数。 解法1： f(k) = (x0-1)*5^0+(x1-
  • PL/SQL Developer保存布局 Kai_Ge
          近日由于项目需要，数据库从DB2迁移到ORCAL，因此数据库连接客户端选择了PL/SQL Developer。由于软件运用不熟悉，造成了很多麻烦，最主要的就是进入后，左边列表有很多选项，自己删除了一些选项卡，布局很满意了，下次进入后又恢复了以前的布局，很是苦恼。在众多PL/SQL Developer使用技巧中找到如下这段：   &n
  • [未来战士计划]超能查派[剧透,慎入] comsci 计划
           非常好看,超能查派,这部电影......为我们这些热爱人工智能的工程技术人员提供一些参考意见和思想........        虽然电影里面的人物形象不是非常的可爱....但是非常的贴近现实生活....    &nbs
  • Google Map API V2 dai_lm google map
    以后如果要开发包含google map的程序就更麻烦咯 http://www.cnblogs.com/mengdd/archive/2013/01/01/2841390.html 找到篇不错的文章，大家可以参考一下 http://blog.sina.com.cn/s/blog_c2839d410101jahv.html 1. 创建Android工程 由于v2的key需要G
  • java数据计算层的几种解决方法2 datamachine javasql集算器
    2、SQL     SQL/SP/JDBC在这里属于一类，这是老牌的数据计算层，性能和灵活性是它的优势。但随着新情况的不断出现，单纯用SQL已经难以满足需求，比如： JAVA开发规模的扩大，数据量的剧增，复杂计算问题的涌现。虽然SQL得高分的指标不多，但都是权重最高的。     成熟度：5星。最成熟的。   
  • Linux下Telnet的安装与运行 dcj3sjt126com linuxtelnet
    Linux下Telnet的安装与运行   linux默认是使用SSH服务的 而不安装telnet服务  如果要使用telnet 就必须先安装相应的软件包  即使安装了软件包 默认的设置telnet 服务也是不运行的 需要手工进行设置 如果是redhat9，则在第三张光盘中找到 telnet-server-0.17-25.i386.rpm
  • PHP中钩子函数的实现与认识 dcj3sjt126com PHP
    假如有这么一段程序： function fun(){ fun1(); fun2(); }   首先程序执行完fun1()之后执行fun2()然后fun()结束。   但是，假如我们想对函数做一些变化。比如说，fun是一个解析函数，我们希望后期可以提供丰富的解析函数，而究竟用哪个函数解析，我们希望在配置文件中配置。这个时候就可以发挥钩子的力量了。   我们可以在fu
  • EOS中的WorkSpace密码修改 蕃薯耀 修改WorkSpace密码
    EOS中BPS的WorkSpace密码修改 >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> 蕃薯耀 201
  • SpringMVC4零配置--SpringSecurity相关配置【SpringSecurityConfig】 hanqunfeng SpringSecurity
     SpringSecurity的配置相对来说有些复杂，如果是完整的bean配置，则需要配置大量的bean，所以xml配置时使用了命名空间来简化配置，同样，spring为我们提供了一个抽象类WebSecurityConfigurerAdapter和一个注解@EnableWebMvcSecurity，达到同样减少bean配置的目的，如下：   applicationContex
  • ie 9 kendo ui中ajax跨域的问题 jackyrong AJAX跨域
    这两天遇到个问题，kendo ui的datagrid，根据json去读取数据，然后前端通过kendo ui的datagrid去渲染，但很奇怪的是，在ie 10,ie 11,chrome,firefox等浏览器中，同样的程序， 浏览起来是没问题的，但把应用放到公网上的一台服务器， 却发现如下情况： 1） ie 9下，不能出现任何数据，但用IE 9浏览器浏览本机的应用，却没任何问题
  • 不要让别人笑你不能成为程序员 lampcy 编程程序员
    在经历六个月的编程集训之后，我刚刚完成了我的第一次一对一的编码评估。但是事情并没有如我所想的那般顺利。 说实话，我感觉我的脑细胞像被轰炸过一样。 手慢慢地离开键盘，心里很压抑。不禁默默祈祷：一切都会进展顺利的，对吧？至少有些地方我的回答应该是没有遗漏的，是不是？ 难道我选择编程真的是一个巨大的错误吗——我真的永远也成不了程序员吗？ 我需要一点点安慰。在自我怀疑，不安全感和脆弱等等像龙卷风一
  • 马皇后的贤德 nannan408
       马皇后不怕朱元璋的坏脾气，并敢理直气壮地吹耳边风。众所周知，朱元璋不喜欢女人干政，他认为“后妃虽母仪天下，然不可使干政事”，因为“宠之太过，则骄恣犯分，上下失序”，因此还特地命人纂述《女诫》，以示警诫。但马皇后是个例外。 　　有一次，马皇后问朱元璋道：“如今天下老百姓安居乐业了吗？”朱元璋不高兴地回答：“这不是你应该问的。”马皇后振振有词地回敬道：“陛下是天下之父，
  • 选择某个属性值最大的那条记录（不仅仅包含指定属性，而是想要什么属性都可以） Rainbow702 sqlgroup by最大值max最大的那条记录
    好久好久不写SQL了，技能退化严重啊！！！   直入主题： 比如我有一张表，file_info， 它有两个属性（但实际不只，我这里只是作说明用）： file_code, file_version 同一个code可能对应多个version 现在，我想针对每一个code，取得它相关的记录中，version 值 最大的那条记录， SQL如下： select *
  • VBScript脚本语言 tntxia VBScript
      VBScript 是基于VB的脚本语言。主要用于Asp和Excel的编程。   VB家族语言简介   Visual Basic 6.0           源于BASIC语言。           由微软公司开发的包含协助开发环境的事
  • java中枚举类型的使用 xiao1zhao2 javaenum枚举1.5新特性
    枚举类型是j2se在1.5引入的新的类型,通过关键字enum来定义,常用来存储一些常量.   1.定义一个简单的枚举类型 public enum Sex { MAN, WOMAN }   枚举类型本质是类,编译此段代码会生成.class文件.通过Sex.MAN来访问Sex中的成员,其返回值是Sex类型.   2.常用方法 静态的values()方
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他