CHookApi类完成了Hook的核心工作后，我们需要让系统所有的进程加载我们的MainHookDll.Dll，从而对系统所有进程中的指定API进行拦截。我们的想法是，MainHookDll模块提供2个导出函数，HookAllProcesses和UnhookAllProcesses函数完成这个功能，当UserUI调用HookAllProcesses函数的时候，系统所有的进程将加载MainHookDll.Dll，在加载的同时让CHookApi类开始工作，对目标进程中的所有指定API的前5个字节进行替换。当调用UnhookAllProcesses函数的时候，系统所有的进程将卸载MainHookDll.Dll，从而取消对指定API的拦截。在HookAllProcesses和UnhookAllProcesses函数中实际上是列举当前系统的所有进程，并对所有进程进行相同的操作。所以我们可以再实现两个函数，用CHookApi类的静态成员InjectDll和EjectLib函数完成真正的功能，而HookAllProcesses和UnhookAllProcesses中实现列举系统进程并对所有进程调用InjectDll或EjectLib函数。我们使用远程线程来实现InjectDll和EjectLib函数。远程线程是指在当前进程中使目标进程启动一个线程。可以通过以下方法完成远程线程的调用。首先使用OpenProcess打开目标进程得到进程句柄，要启动远程线程最少需要用PROCESS_CREATE_THREAD,PROCESS_QUERY_INFORMATION,PROCESS_VM_OPERATION,PROCESS_VM_WRITE, and PROCESS_VM_READ权限打开目标进程（我们使用PROCESS_ALL_ACCESS）。然后调用VirtualAllocEx函数在目标进程中分配内存，使用WriteProcessMemory函数将当前进程中的线程函数的参数写入在目标进程分配的内存中，最后调用CreateRemoteThread函数使目标进程执行线程函数。(实现过程请参考源代码中的注释)。下面给出InjectDll函数的代码，该函数将指定的Dll文件注入到指定ID号的进程中。
int WINAPI CHookApi::InjectDll(DWORD dwProcessId, LPTSTR lpDllName)
{
PTHREAD_START_ROUTINE pfnRemote =(PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle("Kernel32"), "LoadLibraryA");
if(pfnRemote ==NULL)
return -1;
HANDLE hProcess =OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwProcessId);
if(hProcess ==NULL)
{
return -1;
}
int iMemSize = (int)strlen(lpDllName)+1;
void *pRemoteMem =VirtualAllocEx(hProcess, NULL, iMemSize, MEM_COMMIT, PAGE_READWRITE);
if(pRemoteMem ==NULL)
{
CloseHandle(hProcess);
return -1;
}
if (!WriteProcessMemory(hProcess, pRemoteMem, lpDllName, iMemSize,NULL))
{
VirtualFreeEx(hProcess, pRemoteMem, 0, MEM_RELEASE);
CloseHandle(hProcess);
return -1;
}
HANDLE hThread =CreateRemoteThread(hProcess, NULL, 0, pfnRemote, pRemoteMem, 0, NULL);
if(hThread ==NULL)
{
VirtualFreeEx(hProcess, pRemoteMem, 0, MEM_RELEASE);
CloseHandle(hProcess);
return -1;
}
WaitForSingleObject(hThread, INFINITE);
VirtualFreeEx(hProcess, pRemoteMem, 0, MEM_RELEASE);
CloseHandle(hProcess);
CloseHandle(hThread);
return 0;
}
函数一开始，指定了要被注入的线程函数的位置，在这里，我们的线程函数就是LoadLibraryA函数，远程线程中的线程函数应该是PTHREAD_START_ROUTINE类型的函数指针，该函数指针的声明如下：
typedef DWORD (*PTHREAD_START_ROUTINE)(LPVOID)
由声明可知，该函数是一个只有一个参数的，且返回值是DWORD类型的函数，而LoadLibraryA函数符合要求的，所以它可以直接作为远程线程的线程函数。当远程进程调用LoadLibraryA把我们的MainHookDll.Dll加载后，拦截工作就会自动进行。紧接着，用VirtualAllocEx函数在远程进程中开辟一块内存，开辟的内存的大小是MainHookDll的全路径名（注意最后的’\0’）。接着使用WriteProcessMemory函数将参数（即MainHookDll的全路径名）写入到刚刚开辟的远程进程中的地址空间。最后调用CreateRemoteThread函数启动远程线程。要注意的是，当线程结束后，要用VirtualFreeEx函数释放在远程进程内开辟的内存。
|
[【技术文档】]防火墙原理及实现 (7)