自实现API, 过所有用户层HOOK

来源：互联网发布：GTA5无法连接网络编辑：程序博客网时间：2024/04/28 11:44

本文转载自：http://blog.csdn.net/u012410612/article/details/17174155

//绕过用户层HOOK，自实现API函数  //学习了郁金香驱动教学视频 043_绕过所有用户层HOOK(郁金香绕过的是FindWindow)  //用相同的原理我实现了绕过SendMessageA()  //实现过程中有一些感想一并记录  //win xp x86  //__declspec(naked)作用： 生成纯汇编  #include <windows.h>  #include <stdio.h>    //7C92E4F0 >  8BD4             mov edx,esp  //7C92E4F2    0F34             sysenter  //7C92E4F4 >  C3               retn  __declspec(naked) void sysFastCall()  {      _asm      {          mov edx,esp;    //到达这里时会有堆栈顶是两个返回地址,然后才是参数,貌似每个api都是                          //所以定义sysFastCall和SendMyMessageA来模拟堆栈          __emit 0x0f;    //sysenter硬编码          __emit 0x34;      }  }    //_stdcall 规定参数从右往左依次压栈  __declspec (naked) LRESULT __stdcall SendMyMessageA(HWND h, UINT Msg, WPARAM wParam, LPARAM lParam)  {      _asm      {          mov eax,0x11cc;     //内核函数功能号          call sysFastCall;          retn 0x1c;          //这个必须和API对应相同，也就是说传入内核的参数必须一样，                              //内核会严格检验参数个数与有效性      }  }    int main(void)  {      HWND h = FindWindowA(NULL, "计算器");      _asm{          push 0x01;          //这三个是API调用过程中传入的固定数字          push 0x2b0;         //不用WM_CLOSE，用WM_DESTROY也是一样的，所以应该都是一样的吧。。没有每个测试          push 0;             //刚好和压入参数个数组成7个参数(retn 0x1c)      }      SendMyMessageA(h, WM_CLOSE, NULL, NULL);      return 0;  }

0 0