Einzelnen Beitrag anzeigen

Benutzerbild von Neutral General
Neutral General

Registriert seit: 16. Jan 2004
Ort: Bendorf
5.219 Beiträge
 
Delphi 10.2 Tokyo Professional
 
#6

Re: Globaler API-Hook funktioniert nicht

  Alt 13. Mai 2008, 17:11
Hi,

bin schon ein ganzes Stück weitergekommen Aber es gibt da noch ein kleines Problem...
Also erst mal der Code:


Delphi-Quellcode:
procedure TForm1.FormCreate(Sender: TObject);
var lib: hModule;
begin
  lib := LoadLibrary('Kernel32.dll');
  if Lib <> INVALID_HANDLE_VALUE then
    try
      FindNextOld := GetProcAddress(Lib,'FindNextFileA');
    finally
      FreeLibrary(lib);
    end;
end;

procedure TForm1.Button7Click(Sender: TObject);
var hProc: THandle;
    br,old: Cardinal;
    jmp: Pointer;
begin
  GetMem(jmp,5);
  hProc := GetCurrentProcess;
  try
    // Sicherung anlegen und in FinNextHooked schreiben
    VirtualProtect(@FindNextOld,5,PAGE_EXECUTE_WRITECOPY,old);
    GetMem(Sicherung,5);
    ReadProcessMemory(hProc,@FindNextOld,Sicherung,5,br);
    WriteProcessMemory(hProc,@FindNextHooked,Sicherung,5,br);
    // Schreiben
    PByte(jmp)^ := $E9;
    inc(PByte(jmp));
    PCardinal(jmp)^ := Cardinal(@FindNextHooked) - Cardinal(@FindNextOld) - 5;
    dec(PByte(jmp));
    WriteProcessMemory(hProc,@FindNextOld,jmp,5,br);
  finally
    FreeMem(jmp);
    CloseHandle(hProc);
  end;
end;


// geht nur mit globalen variablen irgendwie.. o.O
var param1: THandle;
    param2: PWin32FindData;

procedure FindNextHooked;
asm
  nop // 5 Bytes für den gesicherten FindNextFileA-Code
  nop
  nop
  nop
  nop
  // Parameter1 (THandle) sichern
  mov Param1,eax
  // Parameter2 (PWin32FindData) sichern
  push esi
  mov esi,[ebp+$0C]
  mov Param2, esi
  pop esi
  // Parameter ablegen
  mov eax, Param2
  push eax
  mov eax, Param1
  push eax
  // Adresse von FindNextFileA ab Byte 6 in eax schieben
  mov eax,FindNextOld
  add eax,5
  // Rücksprungadresse = Hier hin zurück! *)
  lea esi, FindNextHooked
  // FindNextFileA (ab Byte 6) aufrufen
  call eax
  // AfterFindNext aufrufen *)
  jmp AfterFindNext
end;

// Darin will ich die Ergebnisse von FindNext auswerten/verändern
function AfterFindNext(hFindFile: THandle; var lpFindFileData: TWIN32FindData): BOOL; stdcall;
begin
  Result := true; // debug
  ShowMessage('hi!'); // debug
end;
Das Problem an den markierten *)-Stellen ist, dass nie der Prozess nie mehr zurück nach FindNextHooked kommt, nachdem ich call eax aufgerufen habe. Daher wird jmp AfterFindNext auch nie aufgerufen. Ich dachte/glaube, dass in esi die Rücksprungadresse gespeichert wird, und daher habe ich die Adresse von FindNextHooked ins esi-Register kopiert. Leider funktioniert das nicht. Mein Verdacht: Innerhalb von FindNextFileA wird (u.a) auch FindNextFileW aufgerufen und daher "vergisst" er, dass er zurück zu FindNextHooked kommen soll (auf Deutsch: meine eingestellte Rücksprungadresse wird überschrieben).

Was mach ich da?

Gruß
Neutral General
Michael
"Programmers talk about software development on weekends, vacations, and over meals not because they lack imagination,
but because their imagination reveals worlds that others cannot see."
  Mit Zitat antworten Zitat