HOOK技術正如其名，就像是程式碼中放下的一個“鉤子”，它在靜靜地等待捕獲系統中的某個訊息或動作。在程式設計技術中，鉤子技術在DOS時代就已經存在了。在windows下，鉤子按照實現技術的不同和掛鉤位置的不同，其種類也是越來越多，但是設定鉤子的本質卻是始終不變的。

那麼鉤子究竟有什麼用？它能幹的事非常多，例如輸入監控、API攔截、訊息捕獲、改變程式執行流程等。防毒軟體會用HOOK技術鉤住一些API函式，比如登錄檔讀寫函式，從而防止病毒對登錄檔的操作；病毒使用HOOK技術有針對性的捕獲鍵盤的輸入，從而記錄使用者的密碼；檔案系統通過HOOK技術在不改變使用者操作的情況下對使用者的檔案進行透明加密。這些都屬於HOOK的技術範疇。

內聯HOOK的原理

API函式都儲存在作業系統提供的DLL檔案中。當在程式中呼叫某個API函式並執行程式後，程式會隱式地將API函式所在的DLL檔案載入入程序中。這樣，程式就可以像呼叫自己的函式一樣呼叫API。大體過程如下圖所示：

CreateProcessW()是API 函式，API函式也是程式設計師的程式碼編譯而成，也有其對應的二進位制程式碼。既然是程式碼，就可以被修改。通過一種強制性的手段修改API函式在記憶體中的映像，從而對API 函式進行hook。使用的方法是，直接使用匯編指令的jmp指令將其的程式碼執行流程改變，進而執行自己的程式碼。執行完自己的程式碼後可以選擇性地執行其它的程式碼。

在Windows下，大部分應用程式都是由Explorer.exe程序來建立的。那麼只要把Explorer.exe中建立程序的函式CreateProcessW()  hook住，就可以自主控制是否讓它建立摸個特定程序。執行流程如下：

由於這種方法是直接在程式流程中嵌入jmp指令來改變流程的，所以把它叫做Inline  Hook。

在二進位制檔案中，程式碼部分都是CPU可以用來執行的機器碼，機器碼和彙編指令是一一對應的。使用 ：jmp  目的地址，該彙編指令的長度為5個位元組。具體可以用OD開啟任意程式，修改某條指令為jmp格式的指令即可看到效果。其中jmp指令後跟著的是從當前地址到目的地址的偏移量。如下圖所示：

準備修改00402390地質處的反彙編程式碼為jmp指令：

修改後的反彙編程式碼：

下一個指令的末尾是95，由此可見該jmp命令的長度是5位元組。

jmp後的偏移量 = 目標地址 – 原地址 – jcc的指令長度。

下圖是，目標地址 – 原地址後的值，由於本次我們使用的jmp指令長度是5，所以在減去5，最後 偏移量 = 11F432E3，正是上面所給出的值（主機使用的是小端位元組序）。

注：

小端位元組序：低位元組存於記憶體低地址；高位元組存於記憶體高地址。

大端位元組序：高位元組存於記憶體低地址；低位元組存於記憶體高地址。

網路位元組序：就是大端位元組序。規定不同系統間通訊一律採用網路位元組序。

總結一下，InlineHook的流程大致如下：

1.     構造跳轉指令

2.   在記憶體中找到要HOOK的函式地址，並儲存要HOOK位置處的前指令長度位元組數內容。

3.   將構造的跳轉指令寫入需要HOOK 的位置處。

4.   當被HOOK位置被執行時會轉到自己的流程中執行。

5.   如果要執行原來的流程，那麼取消HOOK，也就是還原被修改的位元組。

6.   執行原來的流程。

7.   繼續HOOK原來的位置。

下面是一個簡單的例子：

首先，新建一個win32下的DLL工程。在工程中新增一個類，用於操作鉤子。

.h檔案中的主要程式碼如下：

#include<Windows.h>

class CILHOOK
{
public:
	CILHOOK();			//構造
	~CILHOOK();			//析構

	//HOOK函式
	BOOL Hook(LPSTR pszModuleName,
				LPSTR pszFuncName,
				PROC pfnHookFunc);
	
	//取消HOOK函式
	VOID UnHook();

	//重新進行HOOK
	BOOL ReHook();

private:
	PROC	m_pfnOrig;			//函式地址
	BYTE	m_bOldBytes[5];		//函式入口程式碼
	BYTE	m_bNewBytes[5];		//Inline程式碼
};

.cpp檔案中的主要程式碼如下：

CILHOOK::CILHOOK()
{
	m_pfnOrig = NULL;
	ZeroMemory(m_bOldBytes, 5);
	ZeroMemory(m_bNewBytes, 5);
}

CILHOOK::~CILHOOK()
{
	//取消HOOK
	UnHook();

	m_pfnOrig = NULL;
	ZeroMemory(m_bOldBytes, 5);
	ZeroMemory(m_bNewBytes, 5);
}

/*
函式名：Hook
函式功能：對指定模組的函式進行掛鉤
引數說明：
pszModuleName:模組名稱
pszFuncName:函式名稱
pfnHookFunc:鉤子函式
*/
BOOL CILHOOK::Hook(LPSTR pszModuleName,
				LPSTR pszFuncName,
				PROC pfnHookFunc)
{
	BOOL bRet = FALSE;

	//獲取指定模組中函式的地址
	m_pfnOrig = (PROC)GetProcAddress(GetModuleHandle(pszModuleName), pszFuncName);

	if(m_pfnOrig != NULL)
	{
		DWORD dwNum = 0;
		//將原來的資料存起來
		ReadProcessMemory(GetCurrentProcess(), m_pfnOrig, m_bOldBytes, 5, &dwNum);

		//構造jmp指令
		m_bNewBytes[0] = '\xe9';		//jmp Opcode
		//pfnHookFunc是HOOK後的目標地址
		//m_pfnOrig是原來的地址
		//5是指令長度
		*(DWORD *)(m_bNewBytes + 1) = (DWORD)pfnHookFunc - (DWORD)m_pfnOrig - 5;

		//將構造好的地址寫入該地址處
		WriteProcessMemory(GetCurrentProcess(), m_pfnOrig, m_bNewBytes, 5, &dwNum);

		bRet = TRUE;
	}
	return bRet;
}


/*
函式名稱：UnHook
函式功能：取消函式的掛鉤
*/
VOID CILHOOK::UnHook()
{
	if(m_pfnOrig != 0)
	{
		DWORD dwNum = 0;
		//將原來的內容寫回hook地址
		WriteProcessMemory(GetCurrentProcess(), m_pfnOrig, m_bOldBytes, 5, &dwNum);
	}
}

/*
函式名稱：ReHook
函式功能：重新對函式進行掛鉤
*/
BOOL CILHOOK::ReHook()
{
	BOOL bRet = FALSE;

	if(m_pfnOrig != 0)
	{
		DWORD dwNum = 0;
		//寫入掛鉤地址
		WriteProcessMemory(GetCurrentProcess(), m_pfnOrig, m_bNewBytes, 5, &dwNum);
		bRet = TRUE;
	}
	return bRet;
}

DLL中的cpp主要程式碼：

//全域性HOOK物件
CILHOOK CreateProcessHook;

BOOL WINAPI MyCreateProcessW(LPCWSTR lpApplicationName,
	LPWSTR lpCommandLine,
	LPSECURITY_ATTRIBUTES lpProcessAttributes,
	LPSECURITY_ATTRIBUTES lpThreadAttributes,
	BOOL bInheritHandles,
	DWORD dwCreationFlags,
	LPVOID lpEnvironment,
	LPCWSTR lpCurrentDirectory,
	LPSTARTUPINFOW lpStartupInfo,
	LPPROCESS_INFORMATION lpProcessInformation)
{

	BOOL bRet = FALSE;
	
	//彈出被建立的程序名
	if(MessageBoxW(NULL, lpApplicationName, lpCommandLine, MB_YESNO) == IDYES)
	{
	
		//自己呼叫函式前先去掉鉤子，否則會進入死迴圈
		CreateProcessHook.UnHook();

		bRet = CreateProcessW( lpApplicationName,
		lpCommandLine,
		lpProcessAttributes,
		lpThreadAttributes,
		bInheritHandles,
		dwCreationFlags,
		lpEnvironment,
		lpCurrentDirectory,
		lpStartupInfo,
		lpProcessInformation);

		CreateProcessHook.ReHook();

	}else{
		MessageBox(NULL, "您啟動的程式被攔截", "提示", MB_OK);
	}

	return bRet;

}



BOOL APIENTRY DllMain( HANDLE hModule, 
                       DWORD  ul_reason_for_call, 
                       LPVOID lpReserved
					 )
{
	switch (ul_reason_for_call)
	{
	case DLL_PROCESS_ATTACH:
		  {
			  //HOOK CreateProcessW()函式
			  CreateProcessHook.Hook("kernel32.dll", "CreateProcessW", (PROC)MyCreateProcessW);
			  break;
		  }
	case DLL_PROCESS_DETACH:
		{
			CreateProcessHook.UnHook();
			break;
		}
	}
    return TRUE;
}

接下來用我前面文章中用到的DLL注入器進行注入相應的DLL即可。

下面是執行時的介面：

注入explorer.exe程序，然後點選開啟IE，此時會hook到我們指定的函式。選擇是，可以開啟IE；選擇否，將不開啟IE程式。選否時如下圖所示：