Question

我试图使用MS绕道而行，我不知道我做错了什么;我似乎找不到我的问题的答案。

我尝试使用我注入的DLL在一个进程中绕过几个函数，但每次尝试都会导致进程崩溃。

我试图挂钩的一个功能是winapi DirectDrawCreate：

DetourTransactionBegin();
DetourUpdateThread( GetCurrentThread() );
DetourAttach( (PVOID *)DirectDrawCreate, hkDirectDrawCreate );
DetourTransactionCommit();

hkDirectDrawCreate定义为：

HRESULT __stdcall hkDirectDrawCreate( GUID *p1, LPDIRECTDRAW *p2, IUnknown *p3 )
{
    if( !pDDC )
        return 0x00;

    printf( "A call to hkDirectDrawCreate was made\n" );

    return DirectDrawCreate( p1, p2, p3 );
}

在调用DetourAttach时，进程崩溃;堆栈跟踪是：

myProj.dll!detour_skip_jmp(unsigned char * pbCode, void * * ppGlobals) Line 135 C++
myProj.dll!DetourCodeFromPointer(void * pPointer, void * * ppGlobals) Line 984  C++
myProj.dll!DetourAttachEx(void * * ppPointer, void * pDetour, _DETOUR_TRAMPOLINE * * ppRealTrampoline, void * * ppRealTarget, void * * ppRealDetour) Line 1456  C++
myProj.dll!DetourAttach(void * * ppPointer, void * pDetour) Line 1395   C++

代码中断了＆＃39; detour_skip_jmp＆＃39; at＆＃39; 0x68B028BD＆＃39;：

// First, skip over the import vector if there is one.
    if (pbCode[0] == 0xff && pbCode[1] == 0x25) {   // jmp [imm32]
68B028B2  mov         ecx,1  
68B028B7  imul        edx,ecx,0  
68B028BA  mov         eax,dword ptr [pbCode]  
68B028BD  movzx       ecx,byte ptr [eax+edx]  
68B028C1  cmp         ecx,0FFh  
68B028C7  jne         detour_skip_jmp+82h (68B02912h)  
68B028C9  mov         edx,1  
68B028CE  shl         edx,0  
68B028D1  mov         eax,dword ptr [pbCode]  
68B028D4  movzx       ecx,byte ptr [eax+edx]  
68B028D8  cmp         ecx,25h  
68B028DB  jne         detour_skip_jmp+82h (68B02912h)

编辑：ppGlobals为NULL，并且pbCode给出错误＆＃39;错误读取字符串的字符＆＃39;

回到DetourCodeFromPointer ppGlobals也是NULL，但我猜它应该是;这是电话：

 pDetour = DetourCodeFromPointer(pDetour, NULL);

Answer 1

毫无疑问，进口表已被移动或擦洗作为反钩技术。只需在DirectDrawCreate的开头添加一个跳转到你的hkDirectDrawCreate，然后在调用原始跳转到DirectDrawCreate时，但要确保它是在跳到你的钩子之后，否则你会陷入无休止的递归循环。

试图绕开winapi时，为什么这个过程会崩溃？

1 个答案: