利用Windows页防护机制进行函数挂钩-51CTO.COM

摘要

Guard Pages是一种操作系统内存保护机制，旨在检测和防止对内存的非法访问。在Windows操作系统中，Guard Pages通常被用作内存页的末尾，它们通常是未分配或不可访问的内存页。

当程序试图访问一个Guard Page时，操作系统会检测到这种访问并引发异常，通常是访问冲突异常（如访问违例异常）。这种异常的引发使得程序能够及时检测到内存访问错误，从而可以采取适当的措施，例如终止程序或记录错误信息，以防止潜在的安全漏洞被利用。

在Windows Hooking中，利用Guard Pages可以用于检测和拦截对特定内存区域的访问，从而实现对系统功能的修改或监视。这种技术通常被用于软件调试、安全研究和恶意软件分析等领域。

实现过程

整体代码如下:

#include <windows.h>
#include <stdio.h>

// Hook函数功能
HANDLE hook(LPSECURITY_ATTRIBUTES rcx, SIZE_T rdx, LPTHREAD_START_ROUTINE r8, LPVOID r9, DWORD stck1, LPDWORD stck2) {
    MessageBoxA(0, "CreateThread() was called!", "YAY!", 0);
    MessageBoxA(0, "Hooked CreateThread", "YAY!", 0);
    // 这里调用原始CreateThread函数
    //return CreateThread(rcx, rdx, r8, r9, stck1, stck2);
 return NULL;
}

LONG WINAPI handler(EXCEPTION_POINTERS * ExceptionInfo) {
 if (ExceptionInfo->ExceptionRecord->ExceptionCode == STATUS_GUARD_PAGE_VIOLATION) {
  if (ExceptionInfo->ContextRecord->Rip == (DWORD64) &CreateThread) {
   printf("[!] Exception (%#llx)!" , ExceptionInfo->ExceptionRecord->ExceptionAddress);
            printf("\nClick a key to continue...\n");
   getchar();
   ExceptionInfo->ContextRecord->Rip = (DWORD64) &hook;
            printf("Modified RIP Points to: %#llx\n", ExceptionInfo->ContextRecord->Rip);
            printf("Hook Function = %#llx\n", (DWORD64) &hook);
  }
  return EXCEPTION_CONTINUE_EXECUTION;
 }
 return EXCEPTION_CONTINUE_SEARCH;
}

int main() {
 DWORD old = 0;
    DWORD param = 5000;
 AddVectoredExceptionHandler(1, &handler);
 VirtualProtect(&CreateThread, 1, PAGE_EXECUTE_READ | PAGE_GUARD, &old);
 printf("CreateThread addr = %#p\n", &CreateThread);
 
 HANDLE hThread = CreateThread(0, 0, (LPTHREAD_START_ROUTINE) &Sleep, ¶m, 0, 0);
 WaitForSingleObject(hThread, param);
 printf("YEP!\n");
    
 return 0;
}1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.

头文件部分:

代码从包含必要的头文件开始，包括 <windows.h> 和 <stdio.h>，它们分别提供了Windows API和标准I/O操作的函数和定义。

Hook函数:

定义了钩子函数hook。这个函数旨在充当CreateThread API函数的钩子，该函数负责在Windows应用程序中创建线程。在钩子函数内部，显示了两个消息框，指示CreateThread函数已被调用，并且它已经被这段代码“hook”了。在这段代码中，原始的CreateThread函数没有被调用。

异常处理

定义了一个处理函数, 并使用AddVectoredExceptionHandler将其设置为异常处理程序, 这个函数被设计用来处理异常，特别是STATUS_GUARD_PAGE_VIOLATION，这是一种在受保护的内存页上尝试执行代码时发生的异常。如果异常代码是STATUS_GUARD_PAGE_VIOLATION，并且指令指针（Rip）指向CreateThread函数，它会显示一条消息，并修改Rip指向钩子函数。任何尝试调用执行CreateThread函数的操作都将被重定向到执行钩子函数。

主函数

在主函数内部，声明了一个变量old，但未被使用。一个param变量被设置为5000，并调用AddVectoredExceptionHandler函数将处理程序函数注册为异常处理程序。使用VirtualProtect在CreateThread函数上设置了一个守卫页面。如果尝试执行它，这将触发处理程序函数。使用printf显示了CreateThread函数的地址。使用CreateThread创建了一个新线程，但似乎并没有提供任何实际目的，因为该线程只是休眠了5000毫秒。等待线程结束后，打印“YEP!”。

测试

将代码编译后执行,效果如下:

图片