无痕HOOK方式=硬断+VEH

123456790

1. BOOL APIENTRY DllMain( HMODULE hModule,
   
2.                        DWORD  ul_reason_for_call,
   
3.                        LPVOID lpReserved
   
4.                      )
   
5. {
   
6.     switch (ul_reason_for_call)
   
7.     {
   
8.     case DLL_PROCESS_ATTACH:
   
9.         {
   
10.             AddVectoredExceptionHandler(1, (PVECTORED_EXCEPTION_HANDLER)ExceptionHandler);
    
11.             SetHwBreakpoint();
    
12.         }
    
13.     case DLL_THREAD_ATTACH:
    
14.         {
    
15.             SetHwBreakpoint();
    
16.         }
    
17.     case DLL_THREAD_DETACH:
    
18.     case DLL_PROCESS_DETACH:
    
19.         break;
    
20.     }
    
21.     return TRUE;
    
22. }
    
23. 
    
24. void SetHwBreakpoint()
    
25. {
    
26.     CONTEXT ctx;
    
27.     ctx.ContextFlags = CONTEXT_ALL;
    
28.     GetThreadContext(GetCurrentThread(), &ctx);
    
29.     ctx.Dr0 = 0x6f3a20dd;
    
30.     ctx.Dr1 = 0x6f361f7b;
    
31.     ctx.Dr7 = 0x405;
    
32.     SetThreadContext(GetCurrentThread(), &ctx);
    
33. }
    
34. 
    
35. DWORD NTAPI ExceptionHandler(EXCEPTION_POINTERS * ExceptionInfo)
    
36. {
    
37.     if ((DWORD)ExceptionInfo->ExceptionRecord->ExceptionAddress == 0x6f3a20dd)
    
38.     {
    
39.         //直接改eip模拟jmp
    
40.         ExceptionInfo->ContextRecord->Eip += 0x34;
    
41.         return EXCEPTION_CONTINUE_EXECUTION;
    
42.     }
    
43.     else if ((DWORD)ExceptionInfo->ExceptionRecord->ExceptionAddress == 0x6f361f7b)
    
44.     {
    
45.         //直接设eax为零模拟mov eax,0
    
46.         ExceptionInfo->ContextRecord->Eax = 0;
    
47.         ExceptionInfo->ContextRecord->Eip += 5;
    
48.         return EXCEPTION_CONTINUE_EXECUTION;
    
49.     }
    
50.     else
    
51.     {
    
52.         //在异常handler里重设drx防止断点被意外清除
    
53.         ExceptionInfo->ContextRecord->Dr0 = 0x6f3a20dd;
    
54.         ExceptionInfo->ContextRecord->Dr1 = 0x6f361f7b;
    
55.         ExceptionInfo->ContextRecord->Dr7 = 0x405;
    
56.         return EXCEPTION_CONTINUE_SEARCH;
    
57.     }
    
58. }
    
59. 
    

复制代码