![]() |
Hooken der RecvFrom() Methode mittels uALLCollection
Ich sitze jetzt schon mehr als 20h an einem Funktionshook.
Delphi-Quellcode:
Das ist die DLL. Also ich habe mit dem AppSniffer herrausgefunden, dass alle obenstehenden Funktionen genutzt werden, diese zeigt auch sämtliche nutzung mit Parametern etc an. Nun habe ich gedacht "hookste halt mal". Ein Mann ein Wort. Send(), SendTo() und Recv() werden erfolgreich gehookt. Das entnehme ich daraus, das bei meiner Hauptanwendung dieses "inform" ankommt. Aber recvFrom zickt total rum. Ich weis dass es definitiv ausgeführt wird, aber warum bekommt meine Hauptanwendung dies nicht mit?!
library hook;
uses SysUtils, Classes, Windows, uallHook, WinSock, Messages, Variants, WinSock2 in 'WinSock2.pas', IPC in 'IPC.pas'; {$R *.res} type TsendMethod = function(s: TSocket; Buf : Pointer; Len, Flags: Integer): Integer; stdcall; TsendToMethod = function(s: TSocket; var Buf; len, flags: Integer; var addrto: TSockAddr; tolen: Integer): Integer; stdcall; TrecvMethod = function(s: TSocket; Buf : Pointer; Len, Flags: Integer): Integer; stdcall; TrecvFromMethod = function(s: TSocket; var Buf; len, flags: Integer; var from: TSockAddr; var fromlen: Integer): Integer; stdcall; var orgiSend : TsendMethod; orgiRecv : TrecvMethod; orgiSendto : TsendToMethod; orgiRecvFrom : TrecvFromMethod; procedure informMaster(func:Integer); var data: TIPCData; begin data.s := ''; data.func := func; IPC.sendData(data); end; function callbackSend(s: TSocket; Buf : Pointer; Len, Flags: Integer): Integer; stdcall; begin Result := orgiSend(s, Buf, Len, Flags); informMaster(1); end; function callbackSendTo(s: TSocket; var Buf; len, flags: Integer; var addrto: TSockAddr; tolen: Integer): Integer; stdcall; begin Result := orgiSendTo(s, Buf, Len, Flags, addrto, tolen); informMaster(2); end; function callbackRecv(s: TSocket; Buf : Pointer; Len, Flags: Integer): Integer; stdcall; begin Result := orgiRecv(s, Buf, Len, Flags); informMaster(3); end; function callbackRecvFrom(s: TSocket; var Buf; len, flags: Integer; var from: TSockAddr; var fromlen: Integer): Integer; stdcall; begin Result := orgiRecvFrom(s, Buf, Len, Flags, from, fromlen); informMaster(4); end; procedure injectmain; begin //MessageBox(0, 'Its me', '', 0); if not(HookApiIAT('ws2_32.dll', 'recvfrom',@callbackRecvFrom, @orgiRecvFrom)) then begin MessageBox(0, 'RecvFrom', '', 0); end; if not(HookApiIAT('ws2_32.dll', 'send',@callbackSend, @orgiSend)) then begin MessageBox(0, 'Send', '', 0); end; if not(HookApiIAT('ws2_32.dll', 'sendto',@callbackSendTo, @orgiSendTo)) then begin MessageBox(0, 'SendTo', '', 0); end; if not(HookApiIAT('ws2_32.dll', 'recv',@callbackRecv, @orgiRecv)) then begin MessageBox(0, 'Recv', '', 0); end; end; procedure uninjectmain; begin //MessageBox(0, 'Bye!', '', 0); uallHook.UnHookApiIAT(@callbackSend, @orgiSend); uallHook.UnHookApiIAT(@callbackSendTo, @orgiSendTo); uallHook.UnHookApiIAT(@callbackRecv, @orgiRecv); uallHook.UnHookApiIAT(@callbackRecvfrom, @orgiRecvFrom); end; procedure dllmain(dwReason: integer); begin case dwreason of DLL_PROCESS_ATTACH: injectmain; DLL_PROCESS_DETACH: uninjectmain; end; end; begin DLLProc := @DLLMain; DLLMain(1); end. Grüße |
Re: Völlige Verzweiflung: RecvFrom
Versuchs mal mit inline Hooks. Die IAT Hooks arbeiten bei solchen Dingen öfters mal nicht zuverlässig. :)
|
Re: Völlige Verzweiflung: RecvFrom
Damit gehts :D - aber auch nur teilweise.
Delphi-Quellcode:
Jetzt wird mir zwar angezeig, dass alles ausgeführt wurde, aber wenn ich die DLL Uninjecte stürtzt das Programm ab indem sich die DLL befand.
library hook;
uses SysUtils, Classes, Windows, uallHook, WinSock, Messages, Variants, WinSock2 in 'WinSock2.pas', IPC in 'IPC.pas'; {$R *.res} type TsendMethod = function(s: TSocket; Buf : Pointer; Len, Flags: Integer): Integer; stdcall; TsendToMethod = function(s: TSocket; var Buf; len, flags: Integer; var addrto: TSockAddr; tolen: Integer): Integer; stdcall; TrecvMethod = function(s: TSocket; Buf : Pointer; Len, Flags: Integer): Integer; stdcall; TrecvFromMethod = function(s: TSocket; var Buf; len, flags: Integer; var from: TSockAddr; var fromlen: Integer): Integer; stdcall; var orgiSend, newSend : TsendMethod; orgiRecv, newRecv : TrecvMethod; orgiSendto, newSendTo : TsendToMethod; orgiRecvFrom, newRecvFrom : TrecvFromMethod; procedure informMaster(func:Integer); var data: TIPCData; begin data.s := ''; data.func := func; IPC.sendData(data); end; function callbackSend(s: TSocket; Buf : Pointer; Len, Flags: Integer): Integer; stdcall; begin Result := newSend(s, Buf, Len, Flags); informMaster(1); end; function callbackSendTo(s: TSocket; var Buf; len, flags: Integer; var addrto: TSockAddr; tolen: Integer): Integer; stdcall; begin Result := newSendTo(s, Buf, Len, Flags, addrto, tolen); informMaster(2); end; function callbackRecv(s: TSocket; Buf : Pointer; Len, Flags: Integer): Integer; stdcall; begin Result := newRecv(s, Buf, Len, Flags); informMaster(3); end; function callbackRecvFrom(s: TSocket; var Buf; len, flags: Integer; var from: TSockAddr; var fromlen: Integer): Integer; stdcall; begin Result := newRecvFrom(s, Buf, Len, Flags, from, fromlen); informMaster(4); end; procedure injectmain; begin //MessageBox(0, 'Its me', '', 0); @orgiSend := GetProcAddress(LoadLibrary('ws2_32.dll'),'send'); if not(HookCode(@orgiSend,@callbackSend,@newSend)) then MessageBox(0, 'Send()', 'Something went wrong!', 0); @orgiSendto := GetProcAddress(LoadLibrary('ws2_32.dll'),'sendto'); if not(HookCode(@orgiSendto,@callbackSendto,@newSendTo)) then MessageBox(0, 'SendTo()', 'Something went wrong!', 0); @orgiRecv := GetProcAddress(LoadLibrary('ws2_32.dll'),'recv'); if not(HookCode(@orgiRecv,@callbackRecv,@newRecv)) then MessageBox(0, 'Recv()', 'Something went wrong!', 0); @orgiRecvFrom := GetProcAddress(LoadLibrary('ws2_32.dll'),'recvfrom'); if not(HookCode(@orgiRecvFrom,@callbackRecvFrom,@newRecvFrom)) then MessageBox(0, 'RecvFrom()', 'Something went wrong!', 0); end; procedure uninjectmain; begin //MessageBox(0, 'Bye!', '', 0); UnhookCode(@newSend); UnhookCode(@newSendTo); UnhookCode(@newRecv); UnhookCode(@newRecvFrom); end; procedure dllmain(dwReason: integer); begin case dwreason of DLL_PROCESS_ATTACH: injectmain; DLL_PROCESS_DETACH: uninjectmain; end; end; begin DLLProc := @DLLMain; DLLMain(1); end. |
Re: Völlige Verzweiflung: RecvFrom
Kannst du deinem Beitrag bitte einen aussagekräftigen Titel geben? "Völlige Verzweiflung" sagt rein gar nichts über dein problem aus und "RecvFrom" sagt ebenso wenig über das eigentliche Problem aus. Mit einem aussagekräftigerem Titel stehen die Chancen bedeutend besser das jemand mit der Lösung auf dein Problem aufmerksam wird und Leute die später einmal das gleiche Problem haben finden über die Suchfunktion dann auch schneller dieses Thema und somit hoffentlich auch die Lösung.
|
Re: Völlige Verzweiflung: RecvFrom
Aber du willst nicht helfen? :gruebel:
|
AW: Hooken der RecvFrom() Methode mittels uALLCollection
Bei welchem Aufruf stürzt denn das Programm ab? Du kannst ja mal MessageBoxes zwischen den einzelnen Unhooks machen.
|
AW: Hooken der RecvFrom() Methode mittels uALLCollection
Ich werfe mal FlushInstructionCache in den Raum. Es könnte auch sein, dass Du den Code änderst und das Programm den halbfertigen Code ausführt.
|
AW: Hooken der RecvFrom() Methode mittels uALLCollection
Teilweise ist es sogar so, dass ich die Funktionen hooke, dann zigg Pakete mitschneide und bei einem Paket X stürtzt die gehookte Anwendung ab. Der Fehler ist nicht reproduzierbar, da er einfach irgendwann auftritt, sicherlich gibt es dafür irgendeinen Grund - aber ich habe ihn noch nicht gefunden.
|
AW: Hooken der RecvFrom() Methode mittels uALLCollection
Naja, ist das der komplette Code?
Und ist deine IPC auch ThreadSafe? |
AW: Hooken der RecvFrom() Methode mittels uALLCollection
Die Probleme treten auch dann auf, wenn ich keine Nachrichten an meine Hauptanwendung schicke. Und ja, es ist der ganze Code, nur der IPC teil wurde von mir in einer Unit ausgelagert. Den hänge ich morgen Nachmittag noch an.
|
Alle Zeitangaben in WEZ +1. Es ist jetzt 14:46 Uhr. |
Powered by vBulletin® Copyright ©2000 - 2025, Jelsoft Enterprises Ltd.
LinkBacks Enabled by vBSEO © 2011, Crawlability, Inc.
Delphi-PRAXiS (c) 2002 - 2023 by Daniel R. Wolf, 2024-2025 by Thomas Breitkreuz