Detour重要函数，随手记

我们截获函数执行最直接的目的就是为函数增添功能，修改返回值，或者为调试以及性能测试加入附加的代码，或者截获函数的输入输出作研究，破解使用。通过访问源代码，我们可以轻而易举的使用重建（Rebuilding）操作系统或者应用程序的方法在它们中间插入新的功能或者做功能扩展。然而，在今天这个商业化的开发世界里，以及在只有二进制代码发布的系统中，研究人员几乎没有机会可以得到源代码。本文主要讨论Detour在Windows二进制PE文件基础上的API截获技术。对于Linux平台，作这件事情将会非常的简单，由于最初的操作

Autoenv是一款强大的目录环境管理工具，它能在你进入特定目录时自动执行环境配置脚本，帮助开发者轻松管理多个项目的复杂开发环境。无论是Python虚拟环境的自动激活、项目特定环境变量的设置，还是离开目录时的环境清理，Autoenv都能帮你高效完成，让开发流程更加顺畅。 ## 一、快速安装Autoenv的3种实用方法 ### 1.1 自动化安装（推荐新手） 最简单的安装方式是使用官方提供的自

用于将dll和有效负载插入新进程的api DetourCreateProcessWithDllEx DetourCreateProcessWithDlls DetourCopyPayloadToProcess DetourCopyPayloadToProcessEx DetourFinishHelperProcess DetourIsHelperProcess DetourRestoreAfterWith 一、DetourCreateProcessWithDllEx 创建一个新进程并将DLL

Detours 是微软开发的一个强大的 Windows API 钩子库，用于监视和拦截函数调用。它广泛应用于微软产品团队和众多独立软件开发中，旨在无需修改原始代码的情况下实现函数拦截和修改。本篇文章旨在帮助开发者更好地理解和应用Detours库进行DLL注入操作，从而实现对目标进程的高效控制和管理。无论您是刚接触Detours的新手，还是希望深入了解其高级功能的老手，这篇文章都将提供有价值的参考。

DetourCreateProcessWithDll(NULL, (LPWSTR)cmdLine.c_str(), NULL, NULL, FALSE, 0, NULL, (LPCTSTR)gamePath.c_str(), &si, &pi,(LPCTSTR)botPath.c_str(), NULL); +botPath "e:\tiaoshi\TTTTT\hero\src\debug\Im

你是否已经垂涎HOOK(钩子)技术已久，但是由于还怕它涉及系统底层而不敢轻易尝试。那么今天我将带你以一个HOOK框架入门C++初级进阶之路，从此让程序听你的话不再是梦。本篇内容介绍如何使用Detour库来搭建Hook Windows系统API的框架，并对常用API MessageBoxW进行挂钩，改变弹窗标题和弹窗内容。并使用xdbg通过逆向查看Detour Hook在代码层面对原始目标挂钩程序流程的改变。并非新技术和创新，大佬娱乐即可。相互学习，共同进步，欢迎大家留言讨论。

本文和代码来自rootkit——windows内核的安全防护 下面展示一个rootkit示例，可以解释对内核函数的detour补丁   1 #include "ntddk.h" 2 3 NTSYSAPI 4 NTSTATUS 5 NTAPI 6 NtDeviceIoControlFile( 7 IN HANDLE hFile, 8 IN HAND

Detour工具包作用：拦截API函数先用一个简单的例子说明问题：//dll.cpp #include #include "detours.h" static LONG dwSlept = 0;   static VOID (WINAPI * TrueSleep)(DWORD dwMilliseconds) = Sleep; VOID WINAPI TimedSleep(DWORD dwMilli

光学不练假把式，当我们接触一个新知识的时候并非会认为这个知识很有用。只有当我们实际使用后才知道Hook是有多好“玩”，本期将带领各位进行Detour Hook框架的实战，抓取QQ消息并对抓取数据进行解析，注意这里是抓取本地消息并非获取他人的消息。博客仅供学习，不能用于其他商业和非法用途。另外，本期代码涉及到隐私内容，并不会完全公布代码，仅分享部分重要代码，再次申明本内容仅供学习！

Detours 是微软开发的一个强大的 Windows API 钩子库，用于监视和拦截函数调用。它广泛应用于微软产品团队和众多独立软件开发中，旨在无需修改原始代码的情况下实现函数拦截和修改。Detours 在调试、监控、日志记录和性能分析等方面表现出色，已成为开发者的重要工具。本章将指导读者运用 Detours 库实现模块查询与枚举功能，帮助读者熟悉该库的使用技巧。

用Detours实现APIHOOK Detours是一个软件开发库，它用于实现拦截Win32二进制代码中的API函数。 它使用一个Jmp指令替换了目标函数的前面几个字节，使得控制直接调用实现的 Detours函数。并通过一个trampoline函数保留了原来函数的功能调用。 我们知道，实现APIHOOK主要有两个重要环节，一是如何把代码注入到目标地 址空间，二是如何让自己的代码被调用。

        Nt函数是在Ring3层最底层的函数了，选择此类函数进行Hook，是为了提高绕过门槛。我的Hook方案使用的是微软的Detours。（转载请指明出处）        Detours的Hook和反Hook的写入如下：DetourTransactionBegin(); DetourUpdateThread(GetCurrentThread()); DetourAttach(lpOriF...

什么是Detours 简单地说，Detours是微软提供的一个开发库，使用它可以简单、高校、稳定地实现APIHOOK的功能。 　　Detours是一个可以在x86、x64和IA64平台上测试任意Win32函数的程序开发库。它可以通过为目标函数重写在内存中的代码而达到拦截Win32函数的目的。Detours还可以将任意的DLL或数据片段(称之为有效载荷)注入到任意Win32二进制文件中。Det...

系列文章主要讲解关于挂钩Winlogon回调过程，实现对任务管理器电源操作DWM 自启动控制、常见系统热键等进行编程拦截。最后，我们指出可以通过我们的方法修改系统登陆或者其他安全页面的界面样式，达到自定义的效果。这是之前编写的一篇文章，一直没有发布，最近得空完善了一下。本篇从 RPC 挂钩角度实现热键拦截。我曾阅读过heiheiabcd写的通过修改具体的窗口回调中的操作 ID，将其指向无效的 ID 来拦截系统热键的方法（《禁止Ctrl+Alt+Del、Win+L等任意系统热键》

拦截二进制函数         Detours库可以在运行过程中动态拦截函数调用。detours将目标函数钱几个指令替换为一个无条件跳转，跳转到用户定义的detour函数。被拦截的函数保存在trampoline函数中。trampoline保存了目标函数移除的指令和一个无条件跳转，可以跳转到目标函数的执行体部分（未被移除的部分）。         当执行到目标函数的时候，直接跳转到用户提供的de

 一、Detours库的来历及下载：        Detours库类似于WTL的来历，是由Galen Hunt and Doug Brubacher自己开发出来，于99年7月发表在一篇名为《Detours: Binary Interception of Win32 Functions.》的论文中。基本原理是改写函数的头5个字节（因为一般函数开头都是保存堆栈环境的三条指令共5个字节：8B FF