我对Windows API拦截技术经典之作Matt Pietrek的第十章的研究

拜读了<<程序员>>杂志 2001年2月号，“编写Win32 API钩子”文章后，对文中提及的如何将DLL插入到其它进程地址空间中所总结的5种方法，产生了极大兴趣，尤其对作者认为最好的但也是最复杂的第五种方法。通过研究发现这第五种方法，即：使用CreateProcess, WaitForDebugEvent,WriteProcessMemory, LoadLibrary等函数将DLL注入到被监控程序空间中，正是Matt Pietrek的<>第十章中所使用的方法。通读该书第十章，不禁要为Matt Pietrek所阐述技术的独到精辟喝彩。虽然该书已经很老，但其附带软盘中的EXE执行程序及DLL在Windows 98, Windows NT4.0下依然可以正常运转。美中不足之处是书中例子代码全部由C程序及汇编文件构成。在VC++6.0下编译通不过，原因是其中一个汇编文件ASMRETRN.asm 在VC++6.0下不知如何编译，为解决这个问题我先后尝试了以下方法：

1) 使用汇编编译器MASM611
将ASMRETRN.asm单独编译成.obj文件后再和其它文件链接。虽然可以解决问题，但总觉得到不方便，所以我尝试将ASMRETRN.asm文件改写成C++文件(其它文件已全部改成C++文件) 。
2) 将ASMRETRN.asm文件改写成C++文件
我使用 _asm关键字修饰 ASMRETRN.asm文件中的汇编语句如下：

void AsmCommonReturnPoint(void)
{
_asm SUB ESP,4   ; Make space for return address
_asm PUSHAD
… …
}

并将ASMRETRN.asm改为ASMRETRN.cpp,然后编译，虽然编译成功，但运行失败。
经过Debug并跟踪汇编代码后，发现C++编译器在每个函数的开头及结尾处都加入了用于保护恢复寄存器的前导和后缀代码。由于这些额外的代码，使得原来精确控制堆栈的汇编程序不再精确，所以程序运行失败。我想也许这也是Matt Pietrek没有将全部程序用C实现的原因。参见原文，Matt Pietrek在文章中说“在我动手编写APISPY32时，我想全用C。不巧，为了在被拦截的函数返回时对我们玩的堆栈进行很好的控制，我无法编写一个清晰的C程序。… …”。 虽然改写遇到了困难，但我没有因此而停止。经过不懈努力我发现了解决这一困难的方法：使用 _declspec(naked)宣言。_declspec(naked) 是微软对C语言的扩充。可以抑制编译器为函数产生前导和后缀代码(the compiler generates code without prolog and epilog code.) 通过如下改写：

_declspec(naked) void AsmCommonReturnPoint(void)
{
_asm SUB  ESP,4   ; Make space for return address
_asm PUSHAD
… …
}

ASMRETRN.asm在精确保持原有功能的前提下改为了ASMRETRN.cpp文件，并且运行成功。至此我已将原程序全部移植到VC++60环境下。

进一步测试，我发现当跟踪的目标程序是Debug版时程序运行正常。但跟踪的目标程序是release版时, 我们的跟踪程序不能拦截目标程序的Windows API函数调用，这是一个严重的BUG！经过多次调试，我终于发现了原因所在。原来在某些release版程序中，存放函数导入表(IAT) 的“.idata”节和其它节进行了合并，并且存放合并后数据的页的页属性为不可写。所以当我们试图改写IAT中函数地址到我们自己的stub函数时，发生页面访问错误。知道了原因，修改就相对容易了。只需将存放函数导入表(IAT) 的“.idata”节所在页的页属性强制改为可写，在替换完IAT表中函数地址后再将页属性还原。 OK，现在可以跟踪release版目标程序了。

现在来进行多平台测试。Window 9x,windows ME, Window NT40运行正常, 但Windows 2000下运行失败。原因是DLL不能被注入到目标程序中。为什么？好象是注入DLL时的有关LoadLibrary() 的一段机器码出了问题，现在该问题正在研究中。希望对Windows API拦截技术，尤其是对Matt Pietrek的<>第十章中所使用的技术有所了解的高手，能够给我提供一些线索指导，这也是我写这篇文章的目的之一。
在此，先对能为我提供帮助的所有朋友，大师，高手表示感谢。同时也希望能和更多的网友切磋技艺,互通有无。

我的M-mail: [email protected] 欢迎来信。