DetoursNT

Umweg

Der Umweg ist ein einfaches Projekt mit einem Ziel - Machen Sie Umwege nur von NTDLL.DLL ohne Änderungen des ursprünglichen Codes abhängig.

Warum?

• Denn auf diese Weise können Sie native Prozesse anschließen.
• Denn auf diese Weise können Sie Ihre Hooking -Bibliothek direkt nach der Last von NTDLL.DLL laden
  • Dies kann in vielerlei Hinsicht erreicht werden - beispielsweise die Verwendung von Windows -Treiber über eine sogenannte APC -Injektion. Sie können sich mein Projekt in Injdrv ansehen, um eine Vorstellung davon zu bekommen, wie dies erfolgt.

Wie?

Dieses Repository hat das ursprüngliche Git -Repository von Umläufen von Microsoft als Submodul angehängt. Daher wurde der ursprüngliche Code in keiner Weise berührt.

NTDLL-Nur-Abhängigkeit wurde durch Erstellen eines C /FI Header-Dateiverkehrs.H.H. Dieser Header verspottet die Funktionen von KERNEL32.DLL für die benutzerdefinierte Implementierung, die in Umwegsnutzungen definiert ist.

Ich möchte den Autoren der folgenden Projekte danken:

• ReactOs - Wird zur Implementierung von KERNEL32.DLL -Funktionen verwendet
• Processhacker - Wird für Prototypen von NTDLL.DLL -Funktionen verwendet

Zusammenstellung

Da der ursprüngliche Umleitungsquellcode als Git -Submodul angehängt wird, müssen Sie nicht vergessen, ihn zu holen:

git clone --recurse-submodules https://github.com/wbenny/DetoursNT

Danach ist der Umweg mit Visual Studio 2017 zusammengestellt. Die Lösungsdatei ist enthalten. Es sind keine anderen Abhängigkeiten erforderlich.

Verwendung

Nachdem Sie F7 in Visual Studio geschlagen und alles zusammenstellen lassen, können Sie überprüfen, ob SampleHookDLL.dll tatsächlich nur von NTDLL.DLL abhängt:

Diese Haken -Dll hängt nur NtTestAlert -Funktion für demonstrative Zwecke ab. In diesem Repository gibt es auch Sample . Der einzige Zweck ist es LoadLibrary(TEXT("SampleHookDLL.dll")) , NtTestAlert() und FreeLibrary() aufzurufen, um zu zeigen, dass der Haken funktioniert.

Anmerkungen

• Diese Implementierung stürzt absichtlich mit SEH -Ausnahmen ab, die innerhalb von Umläufen auftreten. Dies liegt daran, dass SEH -Handler normalerweise in CRT (was hier verboten ist) befinden.
• Unterstützte Architekturen sind: x86, x64, Arm (32-Bit) und ARM64.

Lizenz

Diese Software ist Open-Source unter der MIT-Lizenz. Siehe die lizenz.txt -Datei in diesem Repository.

Der Umweg ist unter MIT -Lizenz lizenziert (eine Kopie der Lizenz ist in separatem Git -Submodul enthalten)

Wenn Sie dieses Projekt interessant finden, können Sie mir einen Kaffee kaufen

  BTC 3GwZMNGvLCZMi7mjL8K6iyj6qGbhkVMNMF
  LTC MQn5YC7bZd4KSsaj8snSg4TetmdKDkeCYk