easyhook库代码简要分析

发表于2016-10-19
评论2 5.9k浏览

easyhook简要说明

  easyhook是一个开源的hook库(http://easyhook.github.io/),其支持托管代码(.NET)和非托管代码(C/C++)hook,这里只分析了其非托管下的hook代码,根据目前分析的情况来看,其有如下几个特点:

1、同时支持X86X64

2、支持针对不同的线程进行hook,例如可以设置当线程ID0x1234的线程执行时执行hook功能函数,而线程ID0x4321执行时不执行hook功能函数。

3、支持在hook功能函数中执行被hook的函数,例如hookMessageBoxA函数,那么在hook功能函数中,可以继续调用MessageBoxA函数,不会发生无限递归的情况。

4、不支持任意点hook

  这里分析其代码的主要目的是了解其如何对X64代码进行hook,微软的detours hook32位开源,但是64位则需要付费购买,通过分析easyhook库中64hook的实现可以帮助我们理解64hook的原理。


Hook相关函数

  在easyhookhook一个函数的完整流程需要使用以下几个函数:

1、LhInstallHook,安装钩子函数。

2、LhSetInclusiveACL,设置包含ACLaccess control list)。

3、LhSetExclusiveACL,设置排除ACL

4. LhUninstallHook,卸载钩子(并不还原,只是禁用)。

5、LhWaitForPendingRemovals,删除钩子(还原)。

  所使用到的关键数据结构为LOCAL_HOOK_INFO结构体:



LhInstallHook 

  该函数的原型为:

1、调用LhAllocateHook函数,在该函数中主要做以下工作:

  调用LhAllocateMemory函数分配存放LOCAL_HOOK_INFO结构体和trampoline代码的内存,在32位下,该内存大小为4K64位下,其会获取当前系统下的内存页大小,之后以hook点为起始,尝试在其上下偏移0x7FFFFF00的范围内以页大小的间隔分配页大小的内存空间。 0x7FFFFF00乘以20xFFFFFE00,将近4GB的内存范围,刚好是jmpE9)能够跳转的范围。

  将分配的内存页的起始部分作为LOCAL_HOOK_INFO结构体的区域,并将部分值初始化。

  获取trampoline汇编代码的地址,并拷贝到内存页中LOCAL_HOOK_INFO结构体之后。在X64中无法使用内联汇编,这里easyhook32位下的Trampoline代码和64位的Trampoline代码放在了单独的.asm文件当中,使用C与汇编混编的方式,将汇编代码结合到程序中,这样就不受X64下不支持内联汇编的影响。

  将hook点的头几个字节(保证能jmp的前提下完整指令的长度),拷贝到trampoline代码之后。如果头几个字节是跳转语句,这里对跳转语句进行了重定位。

  计算从内存页跳转回hook点之后代码的偏移,并拷贝。

  如果是32位,那么还要替换trampoline汇编代码中的一些硬编码,在32位的trampoline汇编代码中需要使用一些变量,这些变量在编译时无法确定,使用类似0x12345678这种硬编码进行标识,这里对其进行了替换。X64下无须替换。(原因见下方PS

  在LhAllocateMemory函数执行完毕之后,内存页的分布图是这样的:


         


2、计算从hook点到trampoline代码的偏移。

3、根据计算得出的偏移生成跳转代码并拷贝到hook点。

4、LOCAL_HOOK_INFO结构体添加到全局GlobalHookListHead链当中,同时将LOCAL_HOOK_INFO结构体的指针赋给最后一个参数(OutHandle)输出,设置线程ID以及删除钩子都需要该结构体。

PS

1、在整个过程中,easyhook在安装钩子的时候,未挂起其他线程,同时在拷贝跳转代码到hook点时,使用的也只是 *((ULONGLONG*)Hook->TargetProc) = AtomicCache 这样的赋值语句,该语句在底层也并非是原子操作。

2、上面提到,X64下并未对trampoline的代码进行替换。在X64的汇编代码开始处:

Intro:

    ;void* Entry; // fixed 0 (0)

    db 0

    db 0

    db 0

    db 0

    db 0

    db 0

    db 0

    db 0

OldProc:

    ;BYTE* OldProc; // fixed 4 (8)  

    db 0

    db 0

    db 0

    db 0

    db 0

    db 0

    db 0

    db 0

NewProc:

   db .....  ;由于占篇幅,这里省略定义。

Outro:

   db....

IsExecutePtr:

   db....

 

........      ;该处开始是实际的汇编代码。

 

  是类似这样的定义,在拷贝trampoline代码时,只拷贝了定义之下的代码语句,这些定义并未拷贝过去,由于trampoline汇编代码和LOCAL_HOOK_INFO结构体是挨着的,所以在汇编代码中,其也就将LOCAL_HOOK_INFO中的成员值当作了这些定义的变量,看下LOCAL_HOOK_INFO的最后的几个成员:

  发现它们和trampoline汇编代码中定义的变量的顺序是相同的。所以只要赋值了LOCAL_HOOK_INFO结构体,那么在汇编代码中就可以直接使用了。这点相当巧妙。

 

LhSetInclusiveACLLhSetExclusiveACL

  这两个函数的函数原型为:


  这两个函数用来设置执行hook功能的线程IDLhSetInclusiveACL函数执行成功后,其第一个参数中线程ID对应的线程执行到hook点时将会执行hook功能函数。LhSetExclusiveACL函数执行成功后,其第一个参数中线程ID对应的线程执行到hook点时将不会执行hook功能函数。

  在LOCAL_HOOK_INFO结构体中的LocalACL成员结构体定义如下:

  在LhSetInclusiveACL函数中,将包含线程ID的数组拷贝到LOCAL_HOOK_INFO结构体中的LocalACL结构体的Entries数组中,同时将IsExclusive设置为假,更新Count的值。

  在LhSetExclusiveACL执行过程和LhSetInclusiveACL函数相同,唯一一点不同的是将IsExclusive设置为真。

 

LhUninstallHook

  该函数原型为:

  该函数将参数中指定的LOCAL_HOOK_INFO结构体指针从全局HookGlobalHookListHead中移除,并添加到全局移除HookGlobalRmovalListHead当中。

  除此之外,还将LOCAL_HOOK_INFO结构体中的HookProc值置为NULL

 

LhWaitForPendingRemovals

  该函数原型为:

  该函数会遍历GlobalRemovalListHead链,根据LOCAL_HOOK_INFO结构体指针中的TargetBackup64位为TargetBackup_x64)成员变量恢复hook点的原始指令,恢复之后释放结构体资源。因此,要删除hook点,必须先调用LhUninstallHook函数,再调用LhWaitForPendingRemovals函数。

 

32HOOK执行流程

  安装完钩子后,函数执行的流程拓扑如下:

  关键点在于trampoline汇编代码,trampoline的流程图如下:

       

  注意,在流程图中的 HookIntroHookOutro函数是在执行硬编码替换时,将函数地址替换进去的。IsExecuted变量值是LOCAL_HOOK_INFO结构体中IsExecutedPtr指针指向的值,该值用来当调用LhWaitForPendingRemovals函数删除hook点时判断是否还有线程在trampoline中执行,如果有,则等待一段时间,再判断,直到没有线程执行trampoline时才删除hook点和trampoline内存页。

  接下来以hook MessageBoxA函数为例说明上述流程如何执行。

 

一、调用LhInstallHook函数安装钩子后,执行MessageBoxA函数

1、MessageBoxA函数入口跳到trampoline代码中,判断HookProc函数处的值不为0,执行HookIntro函数。

2、在该函数中,判断当前线程信息是否在全局线程列表中(用来保存各个线程相关的hook信息,比如是否执行等),如果不存在就添加到全局线程列表中。之后判断当前线程ID是否被设置到ACL中,显然,由于这个时候未调用LhSetInclusiveACLLhSetExclusiveACL函数,所以是未被设置到ACL中,那么函数返回假。

3、执行OldProc函数,并跳转回hook之后,正常执行MessageBoxA函数。

  流程图如下:

      

 

二、调用LhInstallHook,并调用LhSetInclusiveACL包含当前线程ID后,执行MessageBoxA函数

1、MessageBoxA函数入口跳到trampoline代码中,判断HookProc函数处的值不为0,执行HookIntro函数。

2、HookIntro函数中,判断当前线程信息是否在全局线程列表中(用来保存各个线程相关的hook信息,比如是否执行等),如果不存在就添加到全局线程列表中。之后判断线程ID是否被设置到ACL中,由于调用了LhSetInclusiveACL函数,所以被设置到ACL中,那么函数返回真。同时会更新该线程的hook信息,标识该线程已经是在trampoline中执行了的。

3、接下来执行HookProc函数。

4、HookProc函数中又调用了MessageBoxA函数,因此便又会进入trampoline代码执行HookIntro函数,在该函数中获取该线程的hook信息,从而得知该线程已经是在trampoline中执行了的,所以返回假。

5、由于返回假,所以执行OldProc,再跳回正常MessageBoxA函数执行。执行完毕后返回HookProc函数。

6、执行HookOutro函数,在该函数中,重置线程的hook信息。同时更改返回地址为MessageBoxA函数的返回地址。

7、HookOutro函数返回到trampoline中,执行一些扫尾工作后,使用ret指令返回。

  流程图如下:


三、调用LhUninstallHook后,执行MessageBoxA函数

1、调用LhUninstallHook函数后,会将LOCAL_HOOK_INFO结构体中的HookProc值置为0

2、调用MessageBoxA函数进入trampoline,首先判断HookProc值是否为0,由于该值已经被LhUninstallHook函数置为0,所以跳到OldProc处继续执行。

  流程图如下:

          

四、调用LhWaitForPendingRemovals后,执行MessageBoxA函数

1、调用LhWaitForPendingRemovals后,hook点已经被恢复,MessageBoxA函数正常执行。

 

64HOOK执行流程

  整体来看,64位的Hook执行流程和32位的相同,只是个别细节不同,以下是不同点:

1、trampoline汇编代码中,引用变量的方式不同。32位是通过硬编码替换的,64位是通过和LOCAL_HOOK_INFO结构相近,引用LOCAL_HOOK_INFO结构体的变量。

2、64位函数的调用约定不同,因此在trampoline代码中,需要对64位函数的调用约定做一些额外的工作,64位的调用约定参考下方补充信息。

3、分配页内存的方式不同。

 

补充:

x64函数调用约定:

1、一个函数在调用时,前四个参数(整数型)是从左至右依次存放于RCXRDXR8R9寄存器里面;

2、前四个浮点型和双精度浮点则从左至右依次存放于XMM0XMM1XMM2XMM3寄存器里面;

3、剩下的参数从左至右顺序入栈;

4、调用者负责在栈上分配32字节的“shadow space”,用于存放那四个存放调用参数的寄存器的值(亦即前四个调用参数);

5、调用者负责维护堆栈平衡。

如社区发表内容存在侵权行为,您可以点击这里查看侵权投诉指引