[C++] Windows Detours -> brauche anstupser.

[|->|<-|]

Hey wollte bisschen Windows Detours testen, anfang an hat alles gut funktioniert, z.B eine MessageBox zu hooken .

Allerdings interessiert mich sowas eher weniger ich wollte direkt mal gucken wie man eine Funktion hookt wo man das Offset noch rausfinden muss, also wandte ich mich an diesem Tutorial:

Naja leider happerts ein wenig, ich weiss leider nicht wo:
DLL:

 Spoiler

// dllmain.cpp : Definiert den Einstiegspunkt für die DLL-Anwendung.
#include "stdafx.h"
#include <detours.h>
#include <iostream>

#define ADRESS 0x0413D00
#pragma comment(lib,"detours")
using namespace std;

long double(__cdecl* originalFunction) (long double);

long double HookedFunc(long double arg)
{
	cout << "Original function: arg: " << arg << endl;
	arg = 3.85;
	return originalFunction(arg);
}

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
					 )
{
	switch (ul_reason_for_call)
	{
	case DLL_PROCESS_ATTACH:
		cout << "attaching to hook" << endl;
		originalFunction = (long double(__cdecl*)(long double))DetourFunction((PBYTE)ADRESS, (PBYTE)HookedFunc);
	case DLL_THREAD_ATTACH:
	case DLL_THREAD_DETACH:
	case DLL_PROCESS_DETACH:
		break;
	}
	return TRUE;
}

IDA PRO:


Test Programm:

 Spoiler

// TestApplication.cpp : Definiert den Einstiegspunkt für die Konsolenanwendung.
//

#include "stdafx.h"
#include <string>
#include <iostream>
#include <Windows.h>

using namespace std;

double HookMe(double arg);

double HookMe(double arg)
{

	cout << "ARG: " << arg << endl;
	
	return arg;
}

int _tmain(int argc, _TCHAR* argv[])
{

	while (true)
	{
		Sleep(2000);
		HookMe(2.50);
	}
	return 0;
}

Ich weiss nicht warum IDA long double anzeigt, ich habs auch mit double probiert, aber selbes ergebniss, hoffe einer weiss was da falsch ist. (mein tipp ist das offset aber ich weiss nicht genau)

Winject:

[snow]

Führst du Winject denn als Admin aus?

[|->|<-|]

Originally Posted by snow911

Führst du Winject denn als Admin aus?

Jo das hab ich auch probiert.

[+Yazzn]

Kommentier mal std::cout in DllMain aus.

[|->|<-|]

Ne ging leider auch nicht.

[+Yazzn]

DEP deaktiviert? Anscheinend wird die DLL ja nicht mal injected. Ansonsten evtl. mal einen anderen Injector verwenden.

[|->|<-|]

Originally Posted by Peter File

DEP deaktiviert? Anscheinend wird die DLL ja nicht mal injected. Ansonsten evtl. mal einen anderen Injector verwenden.

Was ist DEP?.
Und ich hab ja das cout hinzugefügt damit ich sehe, ob sie überhaupt injected wird, was auch der Fall ist anscheinend scheitert es bei der Funktion.

[+Yazzn]

Data Execution Prevention - Wikipedia, the free encyclopedia
How To Disable Data Execution Prevention (DEP) In Windows 7/Vista | door2windows

[|->|<-|]

Leider hat das auch nicht geholfen, selbes ergebniss wie vorher.

[f1Nn]

#define ADDRESS 0x0413D00

typedef double(__cdecl *tHookedFunction)(double arg1);
tHookedFunction originalFunction;

void Hook(void)
{
	originalFunction = (tHookedFunction)CreateDetour((byte*) ADDRESS, (byte*) HookedFunction);
}

double __cdecl HookedFunction(double arg1)
{
	cout << arg1 << endl;
        arg1 = 13.37;

        return originalFunction(arg1);
}

Untested.

Ich weiss nicht warum IDA long double anzeigt, ich habs auch mit double probiert.

Weil IDA nicht alles weiß. Die Calling Convention (stdcall, cdecl, thiscall, etc.) wird auch öfters mal falsch angezeigt, einfach reanalyzen oder brain nutzen. Du hast den Source der Quellapplikation vor dir, warum testest du überhaupt "long double", wenn du dir 100% sicher bist, dass es "double" ist?

arg = qword ptr8

sizeof(double) = 8
sizeof(long double) = 12

(mein tipp ist das offset aber ich weiss nicht genau)

Nein, das passt.

[Dr. Coxxy]

testapplikation als release kompilieren, die calling convention in der testapplikation fest festlegen auf entweder cdecl oder stdcall, gleiche dann in der dll sowohl bei dem typedef als auch der hookfunktion.

[MrSm!th]

Wenn die DEP für einen Injector ausgeschaltet werden muss, ist der Injector Müll.

[+Yazzn]

Originally Posted by MrSm!th

Wenn die DEP für einen Injector ausgeschaltet werden muss, ist der Injector Müll.

Keine Ahnung wie Winject da verfährt, aber bei vielen anderen Injektoren soll es Probleme geben wenn die DEP an ist.