源程序程序破解之 API HOOK技术源程序程序破解之 API HOOK技术.docxVIP

【源程序】程序破解之 API HOOK技术API HOOK,就是截获API调用的技术，在程序对一个API调用之前先执行你的函数,然后根据你的需要可以执行缺省的API调用或者进行其他处理，假设如果想截获一个进程对网络的访问，一般是几个socket API : recv,recvfrom, send, sendto等等,当然你可以用网络抓包工具，这里只介绍通过API HOOK的方式来实现, 主要原理是在程序运行中动态修改目标函数地址的内存数据，使用jmp语句跳转到你的函数地址，执行完后再恢复内存数据, 汇编代码是:mov eax, pNewAddr[/size][size=3] jmp eax读写进程内存方法:读进程内存:VirtualProtect(lpAddress, nSize, PAGE_READONLY, dwOldProtect); ReadProcessMemory(hProcess, lpAddress, lpBuffer, nSize, dwRead); VirtualProtect(lpAddress, nSize, dwOldProtect, dwOldProtect);2.写进程内存:VirtualProtect(lpAddress, nSize, PAGE_READWRITE, dwOldProtect); WriteProcessMemory(hProcess, lpAddress, lpBuffer, nSize, dwWrite); VirtualProtect(lpAddress, nSize, dwOldProtect, dwOldProtect);在很多年前这种技术非常的流行，有各种各样的工具和SDK,我自己也实现了一个C++ class,名为 CAdHookApi, 主要几个函数是:class CAdHookApi { public: // 指定DLL的某个函数进行HOOK HANDLE Add(LPCTSTR lpszModule, LPCSTR lpcFuncName, void *pNewAddr, DWORD dwData = 0); // 给定一个函数地址进行HOOK HANDLE Add(void *pOldAddr, void *pNewAddr, const BYTE *verifyData = NULL, DWORD verifySize = 0, DWORD dwData = 0); BOOLRemove(HANDLE hHook); BOOLBegin(HANDLE hHook); BOOLEnd(HANDLE hHook); BOOLBegin2(void *pNewAddr); BOOLEnd2(void *pNewAddr); int BeginAll(); int EndAll(); };举例说明使用方法: 假设一个软件是试用软件，试用7天，最笨的办法就是改本机时间，但如果用API HOOK技术就可以很容易做到，可以先用CFF Explorer或者Dependency查看一下该软件是调用哪个函数来获取系统当前时间的，假如是GetLocalTime函数(当然获取时间的函数还有很多API)，那么我就可以截获GetLocalTime,返回一个永不过期的时间.首先,声明一个全局变量:static CAdHookApi gHooks;确定要截获API的参数,API GetLocalTime对应的DLL是KERNEL32.DLL, API定义为:void WINAPI GetLocalTime(LPSYSTEMTIME lpSystemTime);写一个新的函数，定义和原函数保持一致:void WINAPI my_GetLocalTime(LPSYSTEMTIME lpSystemTime) { #if 1 // 执行缺省调用 CAdAutoHookApi autoHook(gHooks, my_GetLocalTime); GetLocalTime(lpSystemTime); #else // 改变函数的行为,返回固定的时间 // 2012-12-28 10:00:00 lpSystemTime-wYear = 2012; lpSystemTime-wMonth = 12; lpSystemTime-wDayOfWeek = 0; lpSystemTime-wDay = 28; lpSystemTime-wHour = 10; lpSystemTime-wMinute = 0; lpSystemTime-wSecond = 0; lpSystemTime-wMilliseconds = 0; #endif }3.直接HOOK已