DetoursNT

Detoursnt

O Detoursnt é um projeto simples com uma meta - faça desvios dependentes apenas do NTDLL.DLL sem nenhuma modificação do código original.

Por que?

• Porque assim você pode conectar processos nativos.
• Porque assim você pode carregar sua biblioteca de lojas logo após a carga de NTDLL.DLL
  • Isso pode ser alcançado de várias maneiras - por exemplo, usando o driver do Windows através da chamada injeção de APC. Você pode olhar para o meu projeto Injdrv para ter uma idéia sobre como isso é feito.

Como?

Este repositório anexou o repositório Git original de desvios da Microsoft como submódulo. Portanto, o código original não foi tocado de forma alguma.

A dependência somente para NTDLL foi alcançada criando um arquivo de cabeçalho C Detoursnt.h, que foi incluído em força ( /FI switch do MSVC) em todas as unidades de compilação de desvios. Este cabeçalho zomba das funções do KERNEL32.DLL para implementação personalizada definida em detursnt.cpp.

Gostaria de agradecer aos autores dos seguintes projetos:

• Reactos - usado para implementação de funções KERNEL32.DLL
• ProcessHacker - usado para protótipos de funções NTDLL.DLL

Compilação

Como o código -fonte original do Detours está anexado como um submódulo Git, você não deve esquecer de buscá -lo:

git clone --recurse-submodules https://github.com/wbenny/DetoursNT

Depois disso, a compilação de desvios usando o Visual Studio 2017. O arquivo de solução está incluído. Nenhuma outra dependência é necessária.

Uso

Depois de atingir F7 no Visual Studio e ter tudo compilado, você pode verificar que SampleHookDLL.dll depende apenas do NTDLL.DLL :

Essa dll de enforcamento apenas preenche a função NtTestAlert para fins demonstrativos. Neste repositório, também há um projeto Sample . O único objetivo é chamar LoadLibrary(TEXT("SampleHookDLL.dll")) , NtTestAlert() e FreeLibrary() para mostrar que o gancho está funcionando.

Observações

• Essa implementação trava intencionalmente nas exceções do SEH que ocorrem dentro dos desvios. Isso ocorre porque os manipuladores SEH geralmente estão localizados no CRT (que está omitido aqui).
• As arquiteturas suportadas são: x86, x64, braço (32 bits) e ARM64.

Licença

Este software é de código aberto sob a licença do MIT. Consulte o arquivo License.txt neste repositório.

O Detours é licenciado sob licença do MIT (uma cópia da licença é incluída no submódulo Git separado)

Se você achar este projeto interessante, você pode me comprar um café

  BTC 3GwZMNGvLCZMi7mjL8K6iyj6qGbhkVMNMF
  LTC MQn5YC7bZd4KSsaj8snSg4TetmdKDkeCYk