[C++] Hookowanie funkcji send() i recv()

#include <winsock2.h>
#include <windows.h>
#include <iostream>

typedef INT (WINAPI *SendPtr)(SOCKET sock, CONST CHAR* buf, INT len, INT flags);
typedef INT (WINAPI *RecvPtr)(SOCKET sock, CHAR* buf, INT len, INT flags);

INT WINAPI OurSend (SOCKET sock, CONST CHAR* buf, INT len, INT flags);
INT WINAPI OurRecv (SOCKET sock, CHAR* buf, INT len, INT flags);

VOID *Detour(BYTE *source, CONST BYTE *destination, CONST INT length);

SendPtr RealSend;
RecvPtr RealRecv;
HANDLE Console;

BOOL WINAPI DllMain(HINSTANCE instance, DWORD reason, LPVOID reserved)
{
   if(reason == DLL_PROCESS_ATTACH)
   {
      // Dla okienkowych aplikacji i osób nie lubiących OutputDebugString(), można jeszcze dodać logowanie pakietów do pliku
      AllocConsole();
      Console = GetStdHandle(STD_OUTPUT_HANDLE);
      CHAR buffer[256];

      RealSend = (SendPtr)GetProcAddress(GetModuleHandle("ws2_32.dll"), "send");
      RealRecv = (RecvPtr)GetProcAddress(GetModuleHandle("ws2_32.dll"), "recv");

      sprintf(buffer, "Adres send() w aplikacji = 0x%x\n", RealSend);
      WriteConsole(Console, buffer, strlen(buffer), NULL, NULL);
      sprintf(buffer, "Adres recv() w aplikacji = 0x%x\n", RealRecv);
      WriteConsole(Console, buffer, strlen(buffer), NULL, NULL);

      RealSend = (SendPtr)Detour((BYTE*)RealSend, (BYTE*)&OurSend, 5);
      RealRecv = (RecvPtr)Detour((BYTE*)RealRecv, (BYTE*)&OurRecv, 5);

      sprintf(buffer, "Adres send() w bibliotece = 0x%x\n", RealSend);
      WriteConsole(Console, buffer, strlen(buffer), NULL, NULL);
      sprintf(buffer, "Adres recv() w bibliotece = 0x%x\n", RealRecv);
      WriteConsole(Console, buffer, strlen(buffer), NULL, NULL);
   }
   else if(reason == DLL_PROCESS_DETACH)
   {
      CloseHandle(Console);
      FreeConsole();
   }

   return TRUE;
}

VOID *Detour(BYTE *source, CONST BYTE *destination, CONST INT length)
{
   DWORD back;
   BYTE *jmp = (BYTE*)malloc(length + 5);

   VirtualProtect(source, length, PAGE_READWRITE, &back);
   memcpy(jmp, source, length);
   jmp += length;

   jmp[0] = 0xE9;
   *(DWORD*)(jmp + 1) = (DWORD)(source + length - jmp) - 5;

   source[0] = 0xE9;
   *(DWORD*)(source + 1) = (DWORD)(destination - source) - 5;

   VirtualProtect(source, length, back, &back);

   return (jmp - length);
}

INT WINAPI OurSend(SOCKET sock, CONST CHAR* buf, INT len, INT flags)
{
   CHAR buffer[256];

   sprintf(buffer, "SEND -> %s\n", buf);
   WriteConsole(Console, buffer, strlen(buffer), NULL, NULL);
   // OutputDebugString(buffer);

   return RealSend(sock, buf, len, flags);
}

INT WINAPI OurRecv(SOCKET sock, CHAR* buf, INT len, INT flags)
{
   CHAR buffer[256];

   sprintf(buffer, "RECV -> %s\n", buf);
   WriteConsole(Console, buffer, strlen(buffer), NULL, NULL);
   // OutputDebugString(buffer);

   return RealRecv(sock, buf, len, flags);
}

Komentarze

VOID *Detour(BYTE *source, CONST BYTE *destination, CONST INT length)


{


   	// ...


   	BYTE *jmp = (BYTE*)malloc(length + 5);


	memcpy(jmp, source, length);


   	VirtualProtect(jmp, length, PAGE_EXECUTE_READWRITE, &back);


   	// ...


}

programer1234

Dodano 05.07.2012r. o 21:55

Na dobrą sprawę ja mam na komputerze zainstalowane 3 kompilatory... tfu, IDE. Głównie korzystam z C::B, ale tak jak napisałem większość nowości testuję w Devie.

Przeniosłem potem kod do C::B, i co? Po zmianie kilku flag przestało wywalać, i śmiga jak należy ;) W sumie nie wiem co jest przyczyną wywalania się pod Devem, ale jakoś zbytnio mnie to nie interesuje

Wprawdzie problem już "rozwiązany", ale jeśli chcesz pogadać, to napisz na maila, a ja ci GG podam

CapaciousCore

Dodano 05.07.2012r. o 21:25

@programer1234 szczerze mówiąc miałem na myśli jakieś ID na komunikator, bo via mail to se można To prawda, że dbg od devcpp sam wymaga debugowania. Oh ironio losu Jak chcesz korzystać z devcpp to proponuje Ci używać "nowszej wersji" tj. wxDev-C++.

Ogólnie ten kod powyżej i wszystko co pisze w C++ jest pisane pod Visual Studio 2k8 i jego kompilator ;)

programer1234

Dodano 05.07.2012r. o 17:59

Ja wiem, ale niektórzy nie chcą tego przyjąć do wiadomości. W sumie nie tylko na tamtym forum.
Z drugiej strony nie dziwię im się

Generalnie wszystkie testowe projekty tworzę pod Dev-C++, a tam jak wiadomo Debugger nie istnieje. Potem będę przerzucał kody na C::B, i zobaczymy

Jeśli chcesz, to pisz na maila, jako administrator na pewno go widzisz ;)

CapaciousCore

Dodano 05.07.2012r. o 17:31

@programer1234 oj tam w jakim hackowaniu. To hookowanie i nie tylko hackerzy wykorzystują takie techniki Deklaracja funkcji jest prawidłowa? Sprawdzałeś pod dbg czy adres się zgadza? Trudno mi tak na sucho coś powiedzieć. Zostaw via PM na siebie namiar to może wieczorem się odezwę.

programer1234

Dodano 05.07.2012r. o 17:27

Taa, już widzę te odpowiedzi "nie pomagamy w hackowaniu"... Ale dobra, spróbuję sam rozwiązać problem Coś jakby z tym wskaźnikiem na oryginalną funkcję było nie tak...

CapaciousCore

Dodano 05.07.2012r. o 17:00

@programer1234 oczywista oczywistość. Ma się rozumieć, że właśnie tak trzeba robić

programer1234

Dodano 05.07.2012r. o 16:53

Świetny kod, co najważniejsze - działa Wielkie dzięki

Jeśli ktoś chciałby go używać do funkcji które w WinAPI mają wersje ANSI i UNICODE, niech pamięta o użyciu literek "A" lub "W", w przeciwnym razie funkcja GetProcAddress zawiedzie ;)

• 1

Dodaj komentarz

Podpis: (Wymagany)

E-mail: (Wymagany, niepublikowany)

Strona WWW: (Nie wymagana)

Token:

Treść tokena: (Przepisz tylko cyfry!)

Treść: (Wymagana)

Tagi