纯C#实现Hook功能详解.pdfVIP

纯纯C#实实现现Hook功功能能详详解解

主要介绍了纯C#实现Hook功能详解，小编觉得挺不错的，现在分享给大家，也给大家做个参。一起跟随小编

过来看看吧

发布一个自己写的用于Hook.Net方法的类库，代码量不大，完全的C#代码实现，是一个比较有趣的功能，分享出来希望能和

大家共同探讨

安装：Install-PackageDotNetDetour

源码：http://xiazai.jb1.net/201701/yuanma/DotNetDetour_jb1.rar

1.为为何何想想做做这这个个

说到hook大家都应该不陌生，就是改变函数的执行流程，让本应该执行的函数跑到另一个函数中执行，这是个很有用也很有

趣的功能（例如获取函数参数信息，改变函数执行流程，计算函数执行时间等等），杀软中主防的原理就是hook，通过hook

拦截函数获取参数信息来判断是否是危险行为，但这类程序大多是C++的，一直以来我都想实现可以hook.net函数的库，网上

搜索了很多，但都不理想，所以想自己实现一个

2.实实现现原原理理

我采用的是inlinehook的方式，因为我对.net虚拟机以及一些内部的结构并不是很熟悉，并且有些东西的确找不到任何文档，

所以就采用原生代码的inlinehook的方式来实现。

首先说一下inlinehook的基本原理，它是通过修改函数的前字节指令为jmpxxxxxxxx来实现的，例如一个C#方法：

用windbg调试查看方法信息：

查看已经jit了的原生代码:

这里的地址(0x008c0640)可以通过MethodInfo.MethodHandle.GetFunctionPointer().ToPointer()方法获取

到了这里，我们就知道了修改从pushebp开始的个字节为jmp跳转指令，跳入我们自己的函数就可以达到hook的目的，但执

行到我们的函数后，如果我们并不是要拦截执行流程，那么我们最终是需要再调用原函数的，但原函数已经被修改了，这会想

到的办法就是恢复那修改的字节指令，但这又会引发另一个问题，就是当我们恢复时，正好另一个线程调用到这个函数，那

么程序将会崩溃，或者说漏掉一次函数调用，修改时暂停其他线程并等待正跑在其中的CPU执行完这字节再去恢复指令也许

是个不错的办法，但感觉并不容易实现，而且影响性能，所以我放弃了这种办法

那么如何才能调用修改前的函数呢，我首先想到是C中写裸函数的方式，即自己用汇编拼出来一个原函数再执行：

原函数前字节指令+jmp跳转指令

但其实这也是不可行的，聪明的人已经发现，图中所示的函数的前字节并不是一个完整的汇编指令，不同的函数，长度都不

一样，.net的函数并不像某些原生函数那样，会预留movedi,edi这样的正好字节的指令，我先想到的是复制函数的所有汇编

指令生成新的函数，但这样也会出问题，因为像E8,E9这样的相对跳转指令，如果指令地址变了，那么跳转的位置也就变了，

程序就会崩溃，所以这也不可行。

到了这里，我有些不耐烦了，毕竟我是要hook所有函数的，而不是某个固定的函数，而函数入口的指令又不相同，这可怎么

办，难道我需要计算出大于等于字节的最小完整汇编指令长度？

按照这个思路，最终找到了一个用C写的反汇编库（BlackBone），其中提供了类似的方法，我稍作了修改后试用了下，的确

不错，可以准确求出汇编指令长度，例如

pushebp

movebp,esp

moveax,dwordptrds:[33F22ACh]

求出值是9，这样我根据求出的值动态拼接一个函数出来即可，哈哈，到了这里，感觉实现的差不多了，但没想到64位下又给

了我当头一棒，之前的原函数指令可以写成：

大于等于字节的最小完整汇编指令+jmp跳转指令即可构成我们的原函数

但我们知道，C#中要想执行汇编，是需要用Marshal.AllocHGlobal来分配非托管空间的，而这样分配的地址与我们要跳转到的

原函数的地址在64位下是超过2GB地址范围的，一般的跳转指令是无法实现的，所以想到了用ret指令实现，而64位地址又不

能直接push，所以最后写出如下汇编：

pushrax

movrax,target_addr

pushrax

movrax,qwordptrss:[rsp+8]

ret8

由于某些C#函数竟然第一行就是修改rax寄存器的值，所以只能是先保存ra