Win下Ring3 Inline Hook技术详解与实现.pdfVIP

一、RING3内联钩子

在WIN64系统上进行RING0INLINEHOO较麻烦（要破PatchGuard），但进行

RING3INLINEHOOK还是比较轻松的。在Win64下进行Ring3InlineHook的基本流程

与Win32下相似，首先要编写一个能够挂钩进程自部函数的DLL，然后再将这个DLL

注射到其他进程中。一个的DLL注入程序如下：

BOOLWINAPIInjectW(DWORDdwPID,PCWSTRpwszFile){BOOLret=FALSE;

HANDLEhToken=NULL;HANDLEhProcess=NULL;HANDLEhThread=NULL;

FARPROCpfnThreadRtn=NULL;PWSTRpwszPara=NULL;hProcess=

OpenProcess(PROCESS_ALL_ACCESS,FALSE,dwPID);pfnThreadRtn=

GetProcAddress(GetModuleHandle(TEXT(Kernel32)),LoadLibraryW);size_t

iFileLen=wcslen(pwszFile)*sizeof(WC