[Video Tutorial] Microsoft Detours 1.5 New Video

[MrSm!th]

Da schlurmann sein Video ja gelöscht hat und einige User wollten, dass ich ein neues mache, habe ich mich kurzer Hand entschieden, ein eigenes Tutorial zu MS Detours 1.5 hochzuladen.

Es ist mein erstes (Video-)Tutorial, also bitte ich um Kritik und Verbesserungsvorschläge, aber bitte bleibt dabei sachlich!


Wenn ihr fragen habt, weil etwas zu schnell ging oder ich etwas zu undeutlich erklärt habe, fragt ruhig


(detours.h und detours.lib sind im Anhang)


(Am besten in HD sehen)

[BrendonHomo]

Nettes und Hilfreiches Tutorial aber hab da noch eine Frage, undzwar warum das selbe bei den Detours 2.1 nicht funktioniert, sieht bei mir so aus, evt haste eine Lösung auch wenn es hier um 1.5 geht.

#include <windows.h>
#include <detours.h>
#pragma comment (lib,"detours.lib")

typedef int (WINAPI *Messagebox_typ)(HWND,LPCSTR,LPCSTR,UINT);

Messagebox_typ Messagebox_orig = NULL;

int WINAPI MyMessageBox(HWND hWnd,LPCSTR lpText,LPCSTR lpCaption,UINT uType)
{
lpText = "Detour funktioniert";
lpCaption = "Detour";
return Messagebox_orig(hWnd,lpText,lpCaption,uType);
}


int WINAPI DllEntryPoint(HINSTANCE hinst, unsigned long reason, void* lpReserved)
{
if (reason == DLL_PROCESS_ATTACH) {
DetourTransactionBegin();
Messagebox_orig = (Messagebox_typ)DetourAttach(&(PVOID&)MessageBoxA, (PVOID)MyMessageBox);
DetourTransactionCommit();
}
return 1;
}

mfg

[MrSm!th]

Eigentlich sollte das so gehen. Ist MessageBoxA denn die richtige MessageBox?

[BrendonHomo]

Ja, ist die richtige.
Beim Injecten bekomme ich folgende Meldung:

An exception (C0000005) occurred during DllEntryPoint or DllMain in module
C:\bla\meinedll.dll

Edit: Das Problem liegt hier dran

Messagebox_orig = (Messagebox_typ)DetourAttach(&(PVOID&)MessageBoxA, (PVOID)MyMessageBox);

[MrSm!th]

Achso klar, die DetourAttach möchte einen Doppelzeiger, also einen Zeiger auf einen Zeiger (void**).
Also musst du die Adresse von MessageBoxA in eine Variable speichern und dessen Adresse übergeben.
Mit nem Blick in die MSDN hättest du das auch lösen können, ich sagte doch, dass ich keinen großartigen Support für 2.1 geben kann.

[BrendonHomo]

Danke, klappt nun wunderbar.

[germanhacker]

Tolles Tutorial MrSm!th.
Hat bei mir super geklappt. Da hab ich mal wieder dazu gelernt.
"Was ist ein Detour ?" hast du meiner Meinung nach gut erklärt. Jetzt weiß ich, wie so ein Detour funktioniert. Danke ! =)
Und der kann von einem Hackshield wirklich nicht erkannt werden ?
Das ist ja geil =D

[MrSm!th]

Doch klar.
Indem Hackshield eben die ersten Bytes einer Funktion auf den Sprungbefehl überprüft.
Da gibts ein paar Tricks um sowas zu umgehen, aber manchmal hilft auch nur noch ein Bypass, um hooken zu können, wie man lustig ist.

[Akorn]

Natürlich kann ein hook von einem anticheat pogramm erkannt werden.
Wobei es aber methoden gibt mit dennen man versucht das zu verhindern.

[germanhacker]

Was wären denn so Tricks ?
Kann XTrap schon einen Hook erkennen ? Wahrscheinlich schon :/

[Akorn]

Indem man z.b. den hook nicht an den anfahng einer funktion setzt sondern erst später. Wobei man dann natürlich aufpassen muss das man die Parameter und lokalen Variablen richtig addressiert da sich die werte in denn Stack und Basepointer registern ändern können.

[germanhacker]

Müsst ich nur noch wissen, wo jetzt in meinem Code angegeben wird, wo der hook eingesetzt werden soll. Dort könnte man das dann so abändern, dass der Hook erst iwann später gesetzt wird. Oder hat das auch was damit zu tun, wann man die DLL injiziert ?

[MrSm!th]

Klar.
Tricks wären, nicht am Anfang der Funktion zu hooken, sondern später.
Oder ne andere Hooking Methode, eben nicht per Detour, sondern zb. Hardwarebreakpoints, Import/ExportAddressTable hooks, VTable hooks, wenn es um Methoden von Klassen geht oder auch einfach andere Jumps.
Gibt ja nicht nur den einfachen Unconditional Jump, sondern noch weitere.

edit:

Lol, wie zwei Posts von zwei unterschiedlichen Leuten so nen ähnlichen Wortlaut haben können

Müsst ich nur noch wissen, wo jetzt in meinem Code angegeben wird, wo der hook eingesetzt werden soll. Dort könnte man das dann so abändern, dass der Hook erst iwann später gesetzt wird. Oder hat das auch was damit zu tun, wann man die DLL injiziert ?

Die Adresse, an der gehookt werden soll, würdest du einfach ändern.

Zb. MessageBoxA+5

Bei WinApi Funktionen macht das nicht so ganz große Probleme mit den Parametern, aber bei anderen wirds da manchmal schon problematisch. Außerdem solltest du bei sowas lokale Variablen vermeiden.

[Akorn]

Müsst ich nur noch wissen, wo jetzt in meinem Code angegeben wird, wo der hook eingesetzt werden soll. Dort könnte man das dann so abändern, dass der Hook erst iwann später gesetzt wird.

Die Addresse an die der Hook gesetzt wird, wird als erster parameter der funktion "DetourFunction" übergeben. Mit dem zeitpunkt der Dll injektion hat das aber nichts zu tun.

[germanhacker]

Ok, danke ihr beiden für die Tipps. =)