64位hook获取返回值 提问

我不是嗨神

我正在hook ReadFile 这个api函数

安装hook的位置是这个函数入口的位置，也就是还没有获取到返回值

寄存器内有提交参数的缓冲区指针，可是读取这个缓冲区指针没有函数的返回内容

我想要取得这个返回值应该怎么编写 hook小白

菊部变暖

把你的代码发上来再说

我不是嗨神

菊部变暖 发表于 2024-12-18 08:23
把你的代码发上来再说

  

子程序名	返回值类型	公开	备 注
_按钮1_被单击

pid ＝ 进程_名取id (“vst3.exe”)
句柄 ＝ X64_打开进程 (2035711, 假, pid)
调试输出 (“pid”, pid, “句柄”, 句柄)
远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “ReadFile”), 5, ReadFile (, , , ))
远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “GetVolumeInformationA”), 5, GetVolumeInformationA (, , , ))
' 远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “CreateFileW”), 5, CreateFileW (, , , ))
' 远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “CreateFileA”), 5, CreateFileA_back (, , , ))

子程序名	返回值类型	公开	备 注
ReadFile	整数型
参数名	类 型	参考	可空	数组	备 注
寄存器参考	寄存器64
自定义回调值参考	自定义回调值
进程句柄值参考	整数型
线程ID值参考	整数型

变量名	类 型	静态	数组	备 注
返回指针	长整数型
api参数	长整数型		0
文件内容	文本型
文件路径_字节集	字节集
文件路径	文本型
局部_缓冲区	整数型

如果真 (寄存器参考.rsp ＝ 0)
返回 (取子程序指针_ ())

局部_缓冲区 ＝ X64_申请内存 (进程句柄值参考, 0, 300, 位或 ( #MEM_COMMIT, #MEM_RESERVE ), #PAGE_EXECUTE_READWRITE )
加入成员 (api参数, 寄存器参考.rcx)
加入成员 (api参数, 局部_缓冲区)
加入成员 (api参数, 32767)
加入成员 (api参数, 2)
call_API (进程句柄值参考, “KERNEL32.DLL”, “GetFinalPathNameByHandleA”, api参数)
内存64_读字节集 (进程句柄值参考, 局部_缓冲区, 300, 文件路径_字节集)
文件路径 ＝ 到文本 (删除Unicode结尾空白字节 (DosToLogicalDrive (文件路径_字节集), 真))
X64_释放内存 (进程句柄值参考, 局部_缓冲区, 0, #MEM_RELEASE )
调试输出 (“ReadFile”, 文件路径)
如果真 (寻找文本 (文件路径, “.AUT”, , 假) ≠ -1)
内存64_写字节集 (进程句柄值参考, 寄存器参考.rdx, 到字节集 ( #Pensado_AUT ) ＋ { 0, 0, 0, 0 })
内存64_读文本型 (进程句柄值参考, 寄存器参考.rdx, 文件内容)
调试输出 (“ReadFile AUT 文件内容”, 文件内容)

返回指针 ＝ X64_取进程函数入口 (进程句柄值参考, “kernelbase.dll”, “ReadFile”)
如果 (返回指针 ＞ 65535)
寄存器参考.rip ＝ 返回指针 ' 进行rip转移 写跳转地址
返回 (1) ' 阻止原代码


调试输出 (“回调似乎有点异常”)
返回 (0)

返回 (0)

i支持库列表	支持库注释
spec	特殊功能支持库

.版本 2<br /> .支持库 spec<br /> <br /> .子程序 _按钮1_被单击<br /> <br /> pid ＝ 进程_名取id (“vst3.exe”)<br /> 句柄 ＝ X64_打开进程 (2035711, 假, pid)<br /> 调试输出 (“pid”, pid, “句柄”, 句柄)<br /> 远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “ReadFile”), 5, ReadFile (, , , ))<br /> <br /> <br /> 远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “GetVolumeInformationA”), 5, GetVolumeInformationA (, , , ))<br /> ' 远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “CreateFileW”), 5, CreateFileW (, , , ))<br /> ' 远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “CreateFileA”), 5, CreateFileA_back (, , , ))<br /> <br /> <br /> .子程序 ReadFile, 整数型<br /> .参数 寄存器参考, 寄存器64, 参考 可空<br /> .参数 自定义回调值参考, 自定义回调值, 参考 可空<br /> .参数 进程句柄值参考, 整数型, 参考 可空<br /> .参数 线程ID值参考, 整数型, 参考 可空<br /> .局部变量 返回指针, 长整数型<br /> .局部变量 api参数, 长整数型, , "0"<br /> .局部变量 文件内容, 文本型<br /> .局部变量 文件路径_字节集, 字节集<br /> .局部变量 文件路径, 文本型<br /> .局部变量 局部_缓冲区, 整数型<br /> <br /> <br /> .如果真 (寄存器参考.rsp ＝ 0)<br /> 返回 (取子程序指针_ ())<br /> .如果真结束<br /> <br /> 局部_缓冲区 ＝ X64_申请内存 (进程句柄值参考, 0, 300, 位或 (#MEM_COMMIT, #MEM_RESERVE), #PAGE_EXECUTE_READWRITE)<br /> <br /> 加入成员 (api参数, 寄存器参考.rcx)<br /> 加入成员 (api参数, 局部_缓冲区)<br /> 加入成员 (api参数, 32767)<br /> 加入成员 (api参数, 2)<br /> <br /> call_API (进程句柄值参考, “KERNEL32.DLL”, “GetFinalPathNameByHandleA”, api参数)<br /> 内存64_读字节集 (进程句柄值参考, 局部_缓冲区, 300, 文件路径_字节集)<br /> 文件路径 ＝ 到文本 (删除Unicode结尾空白字节 (DosToLogicalDrive (文件路径_字节集), 真))<br /> X64_释放内存 (进程句柄值参考, 局部_缓冲区, 0, #MEM_RELEASE)<br /> 调试输出 (“ReadFile”, 文件路径)<br /> .如果真 (寻找文本 (文件路径, “.AUT”, , 假) ≠ -1)<br /> 内存64_写字节集 (进程句柄值参考, 寄存器参考.rdx, 到字节集 (#Pensado_AUT) ＋ { 0, 0, 0, 0 })<br /> 内存64_读文本型 (进程句柄值参考, 寄存器参考.rdx, 文件内容)<br /> 调试输出 (“ReadFile AUT 文件内容”, 文件内容)<br /> .如果真结束<br /> <br /> 返回指针 ＝ X64_取进程函数入口 (进程句柄值参考, “kernelbase.dll”, “ReadFile”)<br /> <br /> .如果 (返回指针 ＞ 65535)<br /> 寄存器参考.rip ＝ 返回指针 ' 进行rip转移 写跳转地址<br /> 返回 (1) ' 阻止原代码<br /> .否则<br /> <br /> 调试输出 (“回调似乎有点异常”)<br /> 返回 (0)<br /> .如果结束<br /> <br /> 返回 (0)