微软Detours Hook库编译与使用教程

Detours 是微软开发的一个强大的Windows API钩子库，用于监视和拦截函数调用。它广泛应用于微软产品团js队和众多独立软件开发中，旨在无需修改原始代码的情况下实现函数拦截和修改。Detours 在调试、监控、日志记录和性能分析等方面表现出色，php已成为开发者的重要工具。本章将指导读者编译并使用Detours库，通过实现一个简单的弹窗替换功能，帮助读者熟悉该库的使用技巧。

Detours 是一个兼容多个Windows系列操作系统版本（包括 Windows XP 到 Windows 11）的工具库。它现在在 MIT 开源许可证下发布，简化了开发者的使用许可流程，并允许社区利用开源工具和流程来支持其发展，目前该库的稳定版本为4.0.1读者可通过如下官方链接自行下载到本地。

Detours 4.0.1：https://github.com/microsoft/Detours/releases

下载文件后打开目录，其中src目录下存储的是Detours库的源代码，而samples则是一些使用案例，当准备就绪后读者需要打开Visual Studio开发者命令提示符，你可以从开始菜单中找到Visual Studio Tools工具菜单，并在其中找到VS20XX x86 本机工具命令提示或Developer Command Prompt for VS 20XX字样，此处以x86为例，在命令提示符中跳转到Detours源代码目录，运行 nmake 命令执行编译。

如果一切顺利，这将会编译Detours库并生成所需的二进制文件，其中include保存有头文件信息，而lib.X86则包含有detours.lib库文件，如下图中所示。

接着我们打开Visual Studio工具，新建一个可执行控制台项目并配置包含引用目录及库目录，如下图所示；

接着我们来实现拦截并替换弹窗功能，在Windows中弹窗接口为MessageBoxW函数，首先需要定义OriginalMessageBoxW的函数指针，该指针用于指向原始的MessageBoxW函数地址。接着定义CustomMessageBoxW函数，在函数内首先将弹窗提示替换为自定义内容，并携带该参数调用OriginalMessageBoxW原函数地址，以此来实现替代弹窗功能。

#include <IOStream>
#include <Windows.h>
#include "detours.h"
#pragma comment(lib, "detoandroidurs.lib")
// 定义指向原始 MessageBoxW 函数的指针
static int (WINAPI *OriginalMessageBoxW)(
	_In_opt_ HWND hWnd,
	_In_opt_ LPCWSTR lpText,
	_In_opt_ LPCWSTR lpCaption,
	_In_ UINT uType) = MessageBoxW;
// 自定义的 MessageBoxW 函数，用于替换原始函数
static int WINAPI CustomMessageBoxW(
	_In_opt_ HWND hWnd,
	_In_opt_ LPCWSTR lpText,
	_In_opt_ LPCWSTR lpCaption,
	_In_ UINT uType)
{
	// 调用原始的 MessageBoxW 函数，但修改了显示的文本
	return OriginalMessageBoxW(hWnd, L"hello lyshark", L"MsgBox", MB_OK);
}

接着就是对挂钩与摘钩的函数封装，分别定义这两个函数，其中InstallHook 函数通过Detours事务的方式，将原始的 MessageBoxW 函数指针替换为自定义的 CustomMessageBoxW 函数指针，从而拦截并修改该函数的行为。相反，RemoveHook 函数则通过类似的事务机制，将自定义的 CustomMessageBoxW 函数指针替换回原始的 MessageBoxW 函数指针，以恢复函数的原始行为。

// 安装钩子
void InstallHook()
{
	// 开始一个 Detours 事务
	if (DetourTransactionBegin() == NO_ERROR)
	{
		// 更新当前线程以准备进行钩子操作
		if (DetourUpdateThread(GetCurrentThread()) == NO_ERROR)
		{
			// 将原始函数指针替换为自定义的函数指针
			if (DetourAttach(&(PVOID&)OriginalMessageBoxW, CustomMessageBoxW) == NO_ERROR)
			{
				// 提交事务，完成钩子安装
				if (DetourTransactionCommit() == NO_ERROR)
				{
					printf("钩子已成功安装。\n");
					return;
				}
			}
		}
		// 如果任何步骤失败，则中止事务
		DetourTransactionAbort();
	}
	printf("安装钩子失败。\n");
}
// 移除钩子
void RemoveHook()
{
	// 开始一个 Detours 事务
	if (DetourTransactionBegin() == NO_ERROR)
	{
		// 更新当前线程以准备进行钩子操作
		if (DetourUpdateThread(GetCurrentThread()) == NO_ERROR)
		{
			// 将自定义的函数指针替换回原始函数指针
			if (DetourDetach(&(PVOID&)OriginalMessageBoxW, CustomMessageBoxW) == NO_ERROR)
			{
				// 提交事务，完成钩子移除
				if (DetourTransactionCommit() == NO_ERROR)
				{
					printf("钩子已成功移除。\n");
					return;
				}
			}
		}
		// 如果任何步骤失败，则中止事务
		DetourTransactionAbort();
	}
	printf("移除钩子失败。\n");
}

在程序入口处，我们分三次调用MessageBoxW函数，其中第一次调用及最后依次调用均在未挂钩状态下进行，第二次调用之前通过InstallHook()安装钩子，之后再调用MessageBoxW函数，并在调用结束后通过RemoveHook()移除钩子，编译这段代码。

int main(int argc, char *argv[])
{
	// 显示原始的消息框
	MessageBoxW(NULL, L"hello world", L"MsgBox", MB_OK);
	// 安装钩子并显示修改后的消息框
	InstallHook();
	MessageBoxW(NULL, L"hello world", L"MsgBox", MB_OK);
	// 移除钩子并恢复为原始的消息框
	RemoveHook();
	MessageBoxW(NULL, L"hello world", L"MsgBox", MB_OK);
	system("pause");
	return 0;
}

使用x64dbg调试器加载运行代码，并寻找到程序的入口处，由于此处的入口处仅仅是一个main(int argc, char *argv[])所以，在汇编中我们可以直接寻找三个参数的关键变量位置，找到后即可定位到入口处，此时直接跟进去就可以看到主函数代码；

如下图中所示，当0x00321314处被执行后则钩子生效，当钩子生效后则底部0x00321347处的地址将被替换为自定义钩子地址，此时在其之上的入栈操作数将会失效；

继续跟进0x00321347这个地址，如下图所示该地址中的入口处已被替换为我们自定义的弹窗位置，此处是一个jmp无条件跳转，预示着将要转向。

我们继续跟进这个转向地址，则可看到如下图所示的反汇编指令集，这里的代码重新入栈了新的字符串变量，并在入栈后调用了原始MessageBoxW函数，并依次来实现替换函数弹窗中的内容。

此时，当继续调用原始函数时，虽函数中的提示信息为hello world但由于挂钩生效了则提示信息会被变更为hello lyshark，以此来实现对函数功能的替换与更正。

在实际应用中，我们通常通过 DLL 注入的方式使用 Detours 库，以便更好地实现对第三方程序的功能替换或修改，例如改变弹窗提示。这种方法能够更高效地应用 Hook 技术，实现对目标程序行为的控制和定制。

例如如下所示的这段代码，当使用注入器将其注入到第三方进程中时，首先DLL_PROCESS_ATTACH将被执行也就是开始挂钩，在挂钩函数中通过DetourFindFunction寻找到MessageBoxW函数的入口地址，并将其存储到OriginalMessageBoxW指针中，并通过DetourAttach对其进行挂钩。

#include <windows.h>
#include "detours.h"
#include "detver.h"
#pragma comment(lib, "detours.lib")
// 定义 MessageBoxW 函数指针类型
static int (WINAPI *OriginalMessageBoxW)(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType) = NULL;
// 自定义的 MessageBoxW 函数
int WINAPI MyMessageBoxW(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType)
{
	// 可以在这里添加自定义逻辑
	return OriginalMessageBoxW(hWnd, L"hello lyshark", lpCaption, uType);
}
// 安装钩子
void InstallHooks()
{
	DetourRestoreAfterWith();
	// 开始事务
	DetourTransactionBegin();
	// 更新当前线程
	DetourUpdateThread(GetCurrentThread());
	// 查找并拦截 MessageBoxW 函数
	OriginalMessageBoxW = (int (WINAPI *)(HWND, LPCWSTR, LPCWSTR, UINT))DetourFindFunction("User32.dll", "MessageBoxW");
	if (OriginalMessageBoxW != NULL)
	{
		// 开始挂钩
		DetourAttach(&(PVOID&)OriginalMessageBoxW, MyMessageBoxW);
	}
	// 提交事务
	DetourTransactionCommit();
}
// 卸载钩子
void UninstallHooks()
{
	// 开始事务
	DetourTransactionBegin();
	// 更新当前线程
	DetourUpdateThread(GetCurrentThread());
	// 撤销拦截 MessageBoxW 函数
	if (OriginalMessageBoxW != NULL)
	{
		// 摘除钩子
		DetourDetach(&(PVOID&)OriginalMessageBoxW, MyMessageBoxW);
	}
	// 提交事务
	DetourTransactionCommit();
}
// DLL 入口点
BOOL APIENTRY DllMain(HMODULE hModule, dwORD ul_reason_for_call, LPVOID lpReserved)
{
	switch (ul_reason_for_call)
	{
	case DLL_PROCESS_ATTACH:
		// 禁用线程库调用
		DisableThreadLibraryCalls(hModule);
		// 安装钩子
		InstallHooks();
		break;
	case DLL_THREAD_ATTACH:
		break;
	case DLL_THREAD_DETACH:
		break;
	case DLL_PROCESS_DETACH:
		// 卸载钩子
		UninstallHooks();
		break;
	}
	return TRUEphp;
}

当挂钩成功后则进程中任何调用弹窗的提示信息都将被替换成hello lyshark提示，而标题栏因未被替换则依然会保持原始状态，如下图是注入之前与注入之后的提示变化；

至此本章内容结束，其实Hook在安全领域的应用相当广泛，例如可以监控和拦截指定的API调用，检测分析程序的行为，拦截网络通信函数，监控数据传输，拦截文件操作和注册表访问等等，本文也只是抛砖引玉让读者能认识Detours库。更多有用的案例可自行参考samples目录下的内容学习。

到此这篇关于微软Detours Hook库编译与使用的文章就介绍到这了,更多相关微软Detours Hook库内容请搜索编程客栈(www.cppcns.cjavascriptom)以前的文章或继续浏览下面的相关文章希望大家以后多多支持编程客栈(www.devze.com)！