班门弄斧一次~~VC++.NET 2008写的HOOK RECV代码
确实是班门弄斧，因为我是学VB的，虽然VB6和.NET都算入门吧，可真正拿VC++写程序还是第一次。学B/C/D的就莫看了。
由于是用上两篇写的远线程调用，所以很多参数等等都是传入的，而不是直接获取的。
下面就一个用VB的人能理解为目标做简单说明和注释：
1、VC里面声明变量和VB不一样：类型在前，名称在后，例如：
BYTE B ;
等同于：
dim B as byte
VC用分号来识别行结束，而VB用回车；VB用圆括号表示数组，VC用方括号……不多说了，我也不是很清楚，总之习惯就好
2、VC里面的函数、变量等等区分大小写，VB不区分，这个一定要注意！
3、类型转换：VB有显式或隐式的，而VC必须用显式的——即时内存里面存的就是那个东东你也不能直接拿来用，够严格，不过指针够灵活也够太灵活……转换时使用的方法就是在圆括号里面写入你要的类型，后面跟着你的参数就可以。例如：
(DWORD)LEN；就是把LEN转换成DWORD类型，据我理解要么是UINTEGER，要么是INTEGER，可能不同API要求不同，我一直都是按INTEGER处理的，也就是说，前面那句相当于CTYPE(LEN,INTEGER)了。
4、&将会吧后面的变量变为指针，*将会把指针变成相应的数据……说的不确切，应该是转换吧
5、其他看看就知道了，VC用API、常数等根本不声明……而是导入.H文件吧（头文件，而且里面可以用宏来改变API书写的名称，就像VB声明API时那个别名吧），反正这个工程里没用到。
以上言论如有误导，请尽快指出………………以免造孽更深…………谢谢………………
//自定义APIHOOK结构
typedef struct
{
FARPROC funcaddr; //RECV函数所在地址
BYTE olddata[8]; //RECV函数开头的8个字节原始数据
BYTE newdata[8]; //我们要写入的数据，汇编代码在下面，利用了EAX存储要跳转的地址，并且FF E0这个操作是绝对地址的
}HOOKSTRUCT;
//0-4 : move eax 0x00000000 //绝对地址，避免了一个换算，其实这个换算也简单，ADDRESS-MFUNADDRESS-5即是
//5-7 : jmp eax
HWND _fHandle ; //接收消息窗口句柄
DWORD _dwIdNew ; //PID
HANDLE hProc; //进程内核句柄，就是OPENPROCESS打开PID得到的那个东东——读写内存用到
////////////////////////////////////////
DWORD _ws2_RecvIndex = 1 ; //ws2_32.dll RECVHOOK标志，实际和HOOK没关系，但是当你HOOK的函数多起来，你得区分是哪个函数发来的消息啊！
HOOKSTRUCT _ws2_RecvHook; //ws2_32.dll HOOK结构
////////////////////////////////////////
//这下面的这些家伙，就是一个定义，和下面写的函数实体一样声明即可，VB里不用这么干编译器也能识别都有哪些函数，可VC不成
int WINAPI m_ws2_recv(SOCKET s, char FAR *buf, int len, int flags);
void SendMsg(char *buf,DWORD len,DWORD Index);
void HookOnOne(HOOKSTRUCT *hookfunc);
void HookOffOne(HOOKSTRUCT *hookfunc);
bool HOOKAPI(DWORD Address,HOOKSTRUCT *hookfunc,DWORD mFncAddress);
//下面传入了一些参数：被注入进程PID，要接收返回信息窗口的句柄
extern "C" _declspec(dllexport) void __stdcall Init(DWORD PID ,HWND FormHandle)
{
AFX_MANAGE_STATE(AfxGetStaticModuleState()); //这个……VC里叫宏吧，哎……说来话长，这句去掉也无所谓的
_dwIdNew = PID ; //备份PID，其实后面代码没用到，主要是为了识别注入了多个程序的话，是哪个程序发回来的信息呢
_fHandle = FormHandle ; //接收消息的窗口句柄，SendMsg函数用到
hProc = OpenProcess(PROCESS_ALL_ACCESS, 0, _dwIdNew); //打开进程，进一步操作他
}
//下面这个用来：记录被HOOK函数前8字节原始数据、构建新的8字节代码、将新代码替换RECV函数原来代码的
//说明全部都是以RECV函数为例，其实这个函数是一个通用函数
bool HOOKAPI(DWORD Address,HOOKSTRUCT *hookfunc,DWORD mFncAddress)
{
hookfunc->funcaddr = (FARPROC)Address; //这个地方用了一个转换，把传入值转换成何结构当中声明的一样
memcpy(hookfunc->olddata, hookfunc->funcaddr, 8); //记录RECV函数前8字节原始数据
//下面开始构建汇编代码{0xB8, 0x00, 0x00, 0x00, 0x00, 0xFF, 0xE0, 0x00 }
hookfunc->newdata[0]=0xB8; //MOVE EAX (EAX后面的数就是下面4字节了)
hookfunc->newdata[1]=0x00;
hookfunc->newdata[2]=0x00;
hookfunc->newdata[3]=0x00;
hookfunc->newdata[4]=0x00; //到这里是 MOVE EAX 00000000 ，这里的地址，将会在下面被替换（注意是绝对地址）
hookfunc->newdata[5]=0xFF;
hookfunc->newdata[6]=0xE0;//到这里是 JMP EAX
hookfunc->newdata[7]=0xCC;//填充一个INT3 ,其实NOP（&h90）啥的也行，换句话说这个不改、不理他都可以，不过翻看帖子时看到一些人说CPU识别错代码，谁知道真假，还是放个显眼的比较保险……
memcpy(&hookfunc->newdata[1], &mFncAddress, 4); //这里替换了上面提到的 00000000 为我们用来代替RECV的函数的地址
HookOnOne(hookfunc); //将RECV函数前8字节替换为我们构建的代码——开始HOOK RECV
return true;
}
////////////////////////////////////////////////////////////////////////////////////
//recv，这个函数将实现RECV函数的替换：只需执行一次即可
////////////////////////////////////////////////////////////////////////////////////
extern "C" _declspec(dllexport) bool __stdcall Hook_ws2_Recv(DWORD RecvAddress)
{
AFX_MANAGE_STATE(AfxGetStaticModuleState());
HOOKAPI(RecvAddress,&_ws2_RecvHook,(DWORD)m_ws2_recv); //这里，（DWORD)m_ws2_recv的返回值就是m_ws2_recv函数的地址！你看人家VC多方便……
return true;
}
//显然了，这个事解除RECV HOOK的
extern "C" _declspec(dllexport) bool __stdcall UnHook_ws2_Recv()
{
AFX_MANAGE_STATE(AfxGetStaticModuleState());
HookOffOne(&_ws2_RecvHook);
return true;
}
//---------------------------------------------------------------------------
//这个函数，就是我们用来替换RECV函数的家伙了，必须让这个家伙和RECV函数声明相同，这么相同呢，很简单，VC++.NET也有类似VB的代码提示（虽然少点），找一个适当的地方打上recv（小写）然后打圆括号……看到了？
int WINAPI m_ws2_recv(SOCKET s, char FAR *buf, int len, int flags)
{
int nReturn = 0; //这个家伙记录了RECV的返回值，-1为错误，我们不处理，0为断开，其他嘛，就是实际从SOCKET缓冲区复制了多少字节到RECV缓冲区。简单的说，-1，0都不处理，其他值就是我们要从BUF里面读多少字节了！
HookOffOne(&_ws2_RecvHook); //先关闭HOOK，因为已经进入我们的函数了
nReturn = recv(s, buf, len, flags); //先运行原来的RECV，否则我们不能得到或不能得到全部被复制的内容
HookOnOne(&_ws2_RecvHook); //继续HOOK
//sndmsg((DWORD)len,(DWORD)nReturn);
if ( nReturn == SOCKET_ERROR )
return -1 ;
SendMsg(buf ,nReturn,_ws2_RecvIndex); //发送BUF里面NRETURN个字节到接收窗体
return(nReturn);
}
/////////////////////////////////////////////////////////////////////////////
//WSARECV
/////////////////////////////////////////////////////////////////////////////////
//将原来的函数内容写回——关闭HOOK
void HookOffOne(HOOKSTRUCT *hookfunc)
{
WriteProcessMemory(hProc, hookfunc->funcaddr, hookfunc->olddata, 8, 0);
}
//---------------------------------------------------------------------------
//将我们构建的代码写入——打开HOOK
void HookOnOne(HOOKSTRUCT *hookfunc)
{
WriteProcessMemory(hProc, hookfunc->funcaddr, hookfunc->newdata, 8, 0);
}
//发送WM_COPYDATA消息到指定窗口
void SendMsg(char *buf,DWORD len,DWORD Index)
{
COPYDATASTRUCT cds;
cds.dwData = 0;//sizeof(COPYDATASTRUCT); //有的说这个参数影响发送，还没用到，本来是存PID的，个人觉得应该不会影响
cds.cbData = len; //LPDATA里面的字节数
cds.lpData = buf; //实际数据
SendMessage(_fHandle,WM_COPYDATA,(WPARAM)Index,(LPARAM)&cds); //发到INIT里面指定的那个窗口
}
今天来编辑一下帖子，因为用VB.NET完成了HOOK工作。
其实用VB.NET HOOK本进程API早就弄好了，并且用了一段时间，感觉还是满意的。但是注入其他进程一直在用VC，写起来代码真的不如VB.NET顺手，于是想到注入VB.NET的DLL到其他进程，其实这件事很早就有人在做，主要是给对方进程加载CLR的问题，其实这项工作都是由mscoree.dll完成的，本想用VB.NET写一段汇编代码注入到对方进程然后远线程，可看了看工作量确实不小，于是还是使用了一个VC写的DLL，导出了一个函数，然后远线程调用它用以加载CLR和VB.NET的DLL，这个VC的DLL很简单，只是调用CorBindToRuntimeEx函数来加载CLR，并由之调用VB.NET写的DLL（就是一个正常的类库，无需任何处理）中的方法。这样既然可以调用VB.NET的DLL中的方法了，那么接下来只需要在VB.NET的DLL中进行处理就行了。总结起来，主要是3块：
1、VC的DLL：导出一个函数，用来加载CLR而后加载VB.NET的DLL并调用其指定方法，十来行代码而已。
2、注入器：远线程运行API的能力（这个代码很久之前也发过了），当然，根据需要还可能需要设置一些进程访问权限或者更底层的东西。
3、VB.NET的DLL：公开一个方法，使得CLR能够找到并直接调用它。接下来的事情都在这个DLL里面处理就行了，爱启动线程启动线程，想读啥就读啥，想写啥就写啥吧。结合以前完成的HOOK本进程API的一些方法，完全可以用托管代码来HOOK和处理了。
具体实现就不贴了，毕竟不该归为原创，网上已经有很多类似代码了，只是直接调用CorBindToRuntimeEx，使用远线程的并不是很多，之所以使用远线程是因为可以在VC的DLL的导出函数那里传入一些参数。例如：加载的CLR版本，标志，要调用的托管DLL，类，方法，参数等都可以由注入器传递，从而提高了通用性和控制的灵活性。毕竟咱还没到纠结到底几个DLL的境界，当CLR加载完成并运行托管DLL时对方进程还不知道多出来多少DLL呢。
