VB变态HOOK API也疯狂.doc

VB变态HOOK API也疯狂 - 菜新作品 之所以起这个名字，其主要原因是想证明用VB也可以正常稳定的实现HOOK API功能。貌似关于VB实现HOOK API方面的文章chenhui530有写过，说实话，给我的感觉很一般，最让我大跌眼镜的是，所生成的代码的方式竟然是P-CODE？？难怪文章最后说只能成功用于VB程序，OK，当看到这时我已没心情继续看下去了。算了，还是来说说我自己的吧，只有自己拿得出真才实料才会让人信服，关于该文章的所有技术实现都是纯VB代码，不加任何外部DLL文件实现。在该文章中你将学会以下知识： 1，HOOK API函数 2，远程注入代码与远程注入DLL 3，学会OD分析调试自己的代码 4，学会自己制作tlb类库文件 5，其它细节方面的知识等等。。 首先让我们了解下HOOK API的原理，HOOK API所实现的原理无非就是通过更改API代码默认运行轨道，将所运行的代码指向他处（这里一般为我们自己的地址），通过如此达到HOOK API的功能。如果用汇编的方式表达的话我想可能更明确，如下： Mov eax, 转移地址 Jmp eax HOOK 代码即是如此而已，首先是把我们自己处理的函数地址放在eax寄存器中，然后通过jmp（汇编跳转指令）eax 跳转到eax寄存器中的函数地址处。这时当程序中执行某个被HOOK的函数时，该函数会自动跳转到 eax 地址，也就这样，整个HOOK工作完成了。 OK，明白了原理之后我们还有其它技术方面的问题需要解决，当然在VB中这些问题必须解决，首先是HOOK API问题，在其它语言中如Delphi或ASM可以直接写个DLL HOOK，通过SetWindowsHookEx把该DLL注入到带有消息处理的进程中去，一般 用SetWindowsHookEx注入DLL的方式对于普通的应用程序还行，但对于如系统服务或控制台内进程则无效，所以这时我们需要通过CreateRemoteThread（创建远程线程）API去解决。当然在使用这些方法的前提是必须有DLL。 我们都知道VB压根就实现不了啥标准DLL，当然说到这里可能会有人跟我争辩，我觉得没必要，争来争去结果都一样，VB根本就实现不了啥标准DLL，可网上硬是有些人把什么什么“用VB做输入函数DLL”一文来强加之理，说这就是“标准DLL”，唉，除了汗还是汗，老兄你先把VB下的DLL运行库msvbvm60.dll解决了再来跟我说吧，你呐！~~~ 所以，VB用DLL来实现基本上是不可能了，现在唯一一种方法就是利用远程线程注入EXE代码，然后通过注入的代码去解决它，该方法首先要解决的问题是VB的默认运行库，你我都知道VB运行是需要运行库的，别自欺欺人了兄弟！~咱还是老老实实用远程注入DLL的方法去解决它，OK，运行库问题解决了，那么远程注入代码呢？Why？？不容易实现？啥？你实现了？说你实现了我又想到了 chenhui530 中的那种对注入代码的处理方式，基本上除了可以正常用于在VB生成的自家兄弟EXE程序以外，插入其它进程基本上会给你一个下图效果： 但是这个问题必须要解决，否则就不存在用远程注入代码的方式解决方式了。 当然自己的在用VB编写远程注入代码的时候，也出现了这种现象，不过通过OD反汇编跟踪，我发现罪魁祸首的竟然是 __vbaSetSystemError 的调用。如下图： 上面反汇编代码所对应的VB代码如下： Public Function MyShowTip() As Long MessageBeep 0 End Function 上面代码为注入到目标进程中的代码，可见VB的细心照顾竟然是引发“犯罪”的导炎索。算了，我没啥好说了。目前的情形下，我们要解决VB代码默认对 __vbaSetSystemError 的调用，通过发现，只有使用 tlb 类型库才能很好并且很稳定的解决这个问题。这里涉及类型库的编写，具体语法请参考MSDN。 首先我们写一个简单的 MessageBox 类型库试试： [ uuid1234-1234-1234-123456789ABC), helpstring(my api library), lcid(0x0), version(1.0) ] library MyAPIs { importlib(stdole2.tlb); typedef [public] long HWND; typedef [public] long DWORD; typedef [public] long UINT; typedef [public] long WPARAM; typedef [public] long LPARAM; typedef [public] lo