Доброго времени суток 
Реализовал перехват API-функций путем затирания первых байт родной функции командой перехода на подменяющую(свою) функцию. Протестил - все работает нормально.
Код подменяющий АПИ-функции реализовал библиотечкой и насильно гружу ее в уже запущенную прогу. на обычном Блокноте эта технология работает отлично - никаких сбоев, когда Блокнот пытается сохранить файл, я  нужным мне способом модифицирую сохраняемый файл и только после этого пишу его на диск. тестил на Paint`е - немного тормозит но все же работает так как нужно. Прога InfranView - при попытке чтения записи файла падает с грохотом - но это пока меня не очень огорчает. В вот в MS Word 2007 эффект от моей библиотеки сводится к нулю. Хотя Библиотека загружается корректно, и перехвачиваемые мною функции работы с файлами вызываются(т.е. Ворд их реально использует), НО файл сохраняется в не модифицированном виде. 
собсно вопрос:
я перехватываю API функции: CreateFileA, CreateFileW, ReadFile, WriteFile, CloseHahdle и этого явно не достаточно чтобы заставить Ворд сейвить то что мне нужно...   может кто подскажет, как можно обойти сей нюанс. Буду рад любому совету.

Спасибо  

меня бы огорчило...
Возьмите OllyDBG и посмотрите что там ворд делает.

В порядке предположения - Word использует для чтения/записи своих файлов Ole Storage, так что перехват ReadFile & WriteFile нужно делать не в exe'нике Word'а, а в dll COM сервера, отвечающего за IStorage (Ole32.dll)


Это сообщение отредактировал(а) xvr - 28.7.2009, 10:58

xvr какая разница, если это inproc сервер?

такой способ перехвата подразумевает эксклюзивный доступ к функции,
т.е., к ней нельзя обращаться сразу из нескольких потоков

Добавлено через 5 минут и 33 секунды
еще есть набор функций файл-мэппинга, которыми можно спокойно обойти Read/WriteFile

Это сообщение отредактировал(а) GremlinProg - 28.7.2009, 11:40

shara

Почему бы не использовать detours.lib для перехвата WinAPI?

Это зависит от способа перехвата. Вполне возможен перехват, при котором можно модифицировать адреса (или саму) в PLT, а не сами функции. Тогда будет разница, если для exe PLT модифицировали, а для dll - нет

xvr, 


а можно уточнить в самом общем виде, как это делается?


есть такое... пока буду уповать на то, что файлы не будут одновременно сохраняться в двух или более потоках

Добавлено через 9 минут и 25 секунд
azesmcar, 
а detours.lib сможет "надуть" ворд? если перехватывать нужные API?

Я использовал, ни одна программа не сдувалась.
http://research.microsoft.com/en-us/projects/detours/

Это сообщение отредактировал(а) azesmcar - 29.7.2009, 07:02

В 'общем виде' лучше использовать detours.lib   

В подробностях - нужно найти модуль, экспортирующий нужные функции (например через TooHelp API) и парсить его таблицу импорта. По найденным адресам патчить код.

Либо можно позвать LoadLibrary на нужный модуль (он вернет handle на уже загруженную библиотеку), а затем GetProcAddress. Дополнительно можно проверить, что если то, что вернул GetProcAddress состоит из jmp куда то, то пройти по этому адресу. После чего патчить.


Это сообщение отредактировал(а) xvr - 29.7.2009, 12:06