完美绕开CRC32检测的无痕hook

本文主要是介绍完美绕开CRC32检测的无痕hook，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

什么是Hook？

Hook分类

初级hook

通过软件断点来实现Hook

设置硬件断点实现无痕Hook

断点寄存器

处理

单步步入

线程劫持

什么是Hook？

Hook 英文有钩子、曲线球的意思。简单来讲就是走弯路，比如原本程序是从 A 到 B 顺序来执行，此时我们在A点做Hook，将程序执行路线变成了从 A点先到 C点再到 B点，这个过程就叫Hook，C点这里是我们让程序走的弯路，可以通过在C点做数据加工，就可以让程序执行出我们想要的结果。（记住此时的 A B C，下文都以此为例）

Hook分类

初级hook

初级hook虽然被上述图中(图是网上随便找的🙂)定义为low bi Hook，但却是对Hook原理的最好诠释，正如图中的解释过程一样，是通过jmp 或 Call 等指令实现的跳转，这样一来就会大量破坏源代码，并且我们在C中处理结束后，必须恢复被修改的源码，才能让程序正常运行。因此过程涉及以下关键点：

① 在A点修改机器码跳转到 C点时，使用 jmp/call 实现

② 修改前需要保存原数据，以便恢复数据

③ 可以通过 pushad 和 pushfd 将CPU寄存器信息入栈，再传入参数 esp ，通过esp 来访问和修改寄存器信息

④ 可以通过修改 EIP 的值，来返回 B 点

通过软件断点来实现Hook

软件断点实现的本质就是在下断点的地方插入int3，也被称之为CC断点。

断点是一种异常，为什么异常会实现跳转，又是怎么指定调转位置，以下必须对Windows的异常处理机制做一定描述。

Windows正常启动后，将运行在保护模式下，当有中断或异常发生时，CPU会通过中断描述符
表（DescriptorTable，IDT)来寻找处理函数。因此，IDT表是CPU（硬件）和操作系统（软
件）交接中断和异常的关口。

也就是说当程序出现异常之后，CPU会去找一张表中去查找处理该异常的处理函数。那么如果我们手动让程序在 A点出现异常，CPU就会去表中找处理A点异常的处理函数，那此时如果我们把我们的 C 过程包装成处理A点异常的处理函数，那么也就是实现了从A 点 跳转到 C 点的过程，这个跳转跳转过程是 CPU帮我们实现的。

如何包装C点为处理函数，如何让C成为A点的处理函数？一个API可以解决

异常处理函数：

LONG NTAPI AddVectoredExceptionHandler(

_In_UlON First,

异常处理函数被调用的顺序

_In_PVECTORED_EXECUTE_HANDLER Handler

异常处理回调函数

）

此时当异常发生，CPU会第一时间调用异常回调函数，并传递一个PEXCEPTION_POINTERS作为参数。

typedef struct _EXCEPTION_POINTERS {PEXCEPTION_RECORD ExceptionRecord;PCONTEXT          ContextRecord;
} EXCEPTION_POINTERS, *PEXCEPTION_POINTERS;

它包含了所有异常信息和cpu信息。

PEXCEPTION_RECORD 结构体如下——微软文档

typedef struct _EXCEPTION_RECORD {DWORD                    ExceptionCode;DWORD                    ExceptionFlags;struct _EXCEPTION_RECORD  *ExceptionRecord;PVOID                    ExceptionAddress;DWORD                    NumberParameters;ULONG_PTR                ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
} EXCEPTION_RECORD, *PEXCEPTION_RECORD;

因为我们是设置的软件断点，那么我们这里的ExceptionCode则为 EXCEPTION_BREAKPOINT

PCONTEXT结构体如下——PCONTEXT微软文档

typedef struct _ARM64_NT_CONTEXT {
DWORD ContextFlags;
DWORD Cpsr;
union {
struct {
DWORD64 X0;
DWORD64 X1;
DWORD64 X2;
DWORD64 X3;
DWORD64 X4;
DWORD64 X5;
DWORD64 X6;
DWORD64 X7;
DWORD64 X8;
DWORD64 X9;
DWORD64 X10;
DWORD64 X11;
DWORD64 X12;
DWORD64 X13;
DWORD64 X14;
DWORD64 X15;
DWORD64 X16;
DWORD64 X17;
DWORD64 X18;
DWORD64 X19;
DWORD64 X20;
DWORD64 X21;
DWORD64 X22;
DWORD64 X23;
DWORD64 X24;
DWORD64 X25;
DWORD64 X26;
DWORD64 X27;
DWORD64 X28;
DWORD64 Fp;
DWORD64 Lr;
} DUMMYSTRUCTNAME;
DWORD64 X[31];
} DUMMYUNIONNAME;
DWORD64 Sp;
DWORD64 Pc;
ARM64_NT_NEON128 V[32];
DWORD Fpcr;
DWORD Fpsr;
DWORD Bcr[ARM64_MAX_BREAKPOINTS];
DWORD64 Bvr[ARM64_MAX_BREAKPOINTS];
DWORD Wcr[ARM64_MAX_WATCHPOINTS];
DWORD64 Wvr[ARM64_MAX_WATCHPOINTS];
} ARM64_NT_CONTEXT, *PARM64_NT_CONTEXT;