64位hook 提问

我不是嗨神

我需要在一个进程模块加载进来的一瞬间进行hook安装，有没有什么方法可以做到
我尝试hook了LoadLibraryW这个函数
但是hook的是LoadLibraryW的入口位置 还无法获取到进程模块的指针

我不是嗨神

贴上代码，我通过call调用原始函数，之后返回rax，无法正常运行

  

远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “LoadLibraryW”), 5, LoadLibraryW (, , , ))

子程序名	返回值类型	公开	备 注
LoadLibraryW	整数型
参数名	类 型	参考	可空	数组	备 注
control_寄存器	寄存器64
自定义回调值	自定义回调值
目标进程句柄值	整数型
触发Hook线程ID	整数型

变量名	类 型	静态	数组	备 注
返回指针	长整数型
返回值	长整数型
api参数	长整数型		0
模块路径	字节集

如果真 (control_寄存器.rsp ＝ 0)  ' 此段代码用于在安装时返回回调子程序指针  放在代码最前面
返回 (取子程序指针_ ())

内存64_读字节集 (句柄, control_寄存器.rcx, 200, 模块路径)
调试输出 (“模块路径”, 编码_Unicode到Ansi (模块路径))
加入成员 (api参数, control_寄存器.rcx)
返回值 ＝ call_API (目标进程句柄值, “KERNEL32.DLL”, “LoadLibraryW”, api参数)
内存64_读长整数型 (目标进程句柄值, control_寄存器.rsp, 返回指针)  ' 读取上层call返回地址
如果 (返回指针 ＞ 65535)
' 这里进行的就是 在hook函数头时 阻止函数 需要进行几个操作 ：设置RSP平栈 RIP转移跳回 根据情况设置RAX返回值 且回调返回时阻止原hook的几句代码执行
control_寄存器.rip ＝ 返回指针  ' 进行rip转移 写跳转地址
control_寄存器.rsp ＝ control_寄存器.rsp ＋ 8  ' rsp栈指针+8 平栈
control_寄存器.rax ＝ 返回值  ' 因为已经在回调调用过这个API 而调用这个API的目的已经达到 写回返回值
返回 (1)  ' 阻止原代码


调试输出 (“回调似乎有点异常”)
返回 (0)

返回 (0)

i支持库列表	支持库注释
spec	特殊功能支持库

.版本 2<br /> .支持库 spec<br /> <br /> 远程hook64指令_安装 (句柄, X64_取进程函数入口 (句柄, “KERNEL32.DLL”, “LoadLibraryW”), 5, LoadLibraryW (, , , ))<br /> <br /> <br /> <br /> .子程序 LoadLibraryW, 整数型<br /> .参数 control_寄存器, 寄存器64, 参考 可空<br /> .参数 自定义回调值, 自定义回调值, 参考 可空<br /> .参数 目标进程句柄值, 整数型, 参考 可空<br /> .参数 触发Hook线程ID, 整数型, 参考 可空<br /> .局部变量 返回指针, 长整数型<br /> .局部变量 返回值, 长整数型<br /> .局部变量 api参数, 长整数型, , "0"<br /> .局部变量 模块路径, 字节集<br /> <br /> <br /> .如果真 (control_寄存器.rsp ＝ 0)  ' 此段代码用于在安装时返回回调子程序指针  放在代码最前面<br />     返回 (取子程序指针_ ())<br /> .如果真结束<br /> <br /> <br /> 内存64_读字节集 (句柄, control_寄存器.rcx, 200, 模块路径)<br /> <br /> 调试输出 (“模块路径”, 编码_Unicode到Ansi (模块路径))<br /> <br /> <br /> <br /> 加入成员 (api参数, control_寄存器.rcx)<br /> 返回值 ＝ call_API (目标进程句柄值, “KERNEL32.DLL”, “LoadLibraryW”, api参数)<br /> 内存64_读长整数型 (目标进程句柄值, control_寄存器.rsp, 返回指针)  ' 读取上层call返回地址<br /> .如果 (返回指针 ＞ 65535)<br />     ' 这里进行的就是 在hook函数头时 阻止函数 需要进行几个操作 ：设置RSP平栈 RIP转移跳回 根据情况设置RAX返回值 且回调返回时阻止原hook的几句代码执行<br />     control_寄存器.rip ＝ 返回指针  ' 进行rip转移 写跳转地址<br />     control_寄存器.rsp ＝ control_寄存器.rsp ＋ 8  ' rsp栈指针+8 平栈<br />     control_寄存器.rax ＝ 返回值  ' 因为已经在回调调用过这个API 而调用这个API的目的已经达到 写回返回值<br />     返回 (1)  ' 阻止原代码<br /> .否则<br /> <br />     调试输出 (“回调似乎有点异常”)<br />     返回 (0)<br /> .如果结束<br /> <br /> 返回 (0)