Всем привет!
Подскажите пожалуйста, может кто сталкивался с перехватом API функций. 
Мне необходимо перехватить функцию ReadFile... Причем перехват должен быть глобальным.

Реализовал описанный здесь способ, там и код тоже приводится, но в результате не перехватывает, а на многие приложения, например, стандартный калькулятор даже не захотел зайти в функцию...

Читал о фреймворке Microsoft Detours, как мне показалось, там намного проще все реализуется...скачал библиотеку попытался откомпилировать...вроде бы получилось, но при подключении в Visual Studio <detours.h> выдает ошибку о том, что не может найти этот файл...возможна проблема с компиляцией...

Если кто работал с Detours, помогите, пожалуйста...
Или может другие варианты есть...?

Все пробовал как в Windows 7 x64, x86, так и в Windows XP x86.

сталкивался  с этой проблемой, но от перехвата АПИ -функций я отказался так как она граничит с "хаком" и не всегда приемлема.
давно дело было, исходники свои я где-то посеял.. может со временем проростут. нашел только старый архив со статьями по которым в свое время монироли вопрос.



Это сообщение отредактировал(а) shara - 7.1.2012, 16:58

Присоединённый файл ( Кол-во скачиваний: 26 )
 perehfat_API__articles__p.1.zip 623,96 Kb

а решил проблему путем писания драйвера фильтра файловой системы. на мой взгляд это более легально\универсально\функциональней. Вот тут  и тут обсуждения (да простят меня Одмины за сцылку на конкурирующий сайт   )


Присоединённый файл ( Кол-во скачиваний: 30 )
 perehfat_API__articles__p.2.zip 795,66 Kb

Значит, пути include не проставлены или проставлены неверно. Других причин у этой ошибки нет.

Я пробовал, добавить в настройках путь к файлу detours.h, но при запуске проекта показывает > 100 ошибок. Возможно, что компиляция прошла неправильно? В VS  2010 не получается указать директорию, где хранятся эти .h-файлы...
Просто очень надо...помогите разобраться, хотя бы настроить MS Detours для работы в Visual Studio...

Ниже вывод при компиляции, если нужен будет.
Вот вывод при компиляции через командную строку VS 2005 Express:
    cd "C:\Documents and Settings\SMan\??????? ????\Detours Express 3.0\src"
    if not exist "..\include" mkdir "..\include"
    if not exist "..\lib.X86" mkdir "..\lib.X86"
    if not exist "..\bin.X86" mkdir "..\bin.X86"
    if not exist "obj.X86" mkdir "obj.X86"
    cl /W4 /WX /Zi /MTd /Gy /Gm- /Zl /Od /DWIN32_LEAN_AND_MEAN /D_WIN32_WINNT=0x403 /Gs /DDETOURS_X86=1 /DDETOURS_32BIT=1 /D_X86_ /Fd..\lib.X86\detours.pdb /Foobj.X86\detours.obj /c .\detours.cpp
detours.cpp
.\detours.cpp(9) : fatal error C1083: Cannot open include file: 'windows.h': No such file or directory


Вот вывод при компиляции через командную строку VS 2010:


Присоединённый файл ( Кол-во скачиваний: 4 )
 irtel.txt 38,26 Kb

У тебя обе студии на одном компьютере? Возможно, проблемы из-за этого.

В 2005 как положено, при помощи nmake компилировал? У тебя, как минимум, не прописан путь к Windows SDK в INCLUDE, а может ещё и в LIB. Переменные должны выглядеть как-то так (у меня, к сожалению, только 2008 версия):


В 2010 - из-за чего не получается?
Библиотеки без своих солюшнов добавляются так. Щелкаешь правой кнопкой по своему проекту в обозревателе решений, выбираешь в меню пункт свойства, далее тебе нужны:

Свойства конфигурации -> C/C++ -> Общие, Дополнительные каталоги включения (добавляешь туда путь папки include библиотеки detours)
Свойства конфигурации -> Компоновщик -> Общие, Дополнительные каталоги библиотек (добавляешь туда путь папки lib.X86)

Ну и конечно не стоит размещать проекты в папках с русскими символами в пути, от этого бывают странные проблемы.

Попробовал в VS 2010 подключить, как вы сказали, добавил #include <detours.h>, но при компиляции выдает супер-много ошибок ~120... Почему так происходит... в чем может быть проблема?

Попробовал тоже сделать в Visual C++ 2005 Express... тоже самое.

Это сообщение отредактировал(а) freezeman - 10.1.2012, 10:28

  

Спасибо за ответ.. Но только что получилось, дополнительно нужно было подключить windows.h и все компилируется... правда предстоит ещё много работы по реализации глобального статического перехвата...есть опыт в этом?

Как реализуется Глобальный перехват в MS Detours... если можно привести примеры или ссылки скинуть,
помогите кто-нибудь...

Найди в документации раздел Using Detours - там пример DLL-ки, которая делает перехват функции для процесса, к которому подключается, доработай его и добавь путь к ней в "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs" - тогда она будет подключаться ко всем процессам, где используется библиотека user32 (то есть, практически всем). В примере адрес перехватываемой функции получается статически, но его ещё можно найти в таблицах импорта/экспорта соответствующими функциями.

При компиляции выдает ошибки, что с ними делать понятия не имею!!

------ Перестроение всех файлов начато: проект: msdetours, Конфигурация: Debug Win32 ------
...
dllmain.obj : error LNK2019: ссылка на неразрешенный внешний символ _DetourDetach@8 в функции _DllMain@12
dllmain.obj : error LNK2019: ссылка на неразрешенный внешний символ _DetourTransactionCommit@0 в функции _DllMain@12
dllmain.obj : error LNK2019: ссылка на неразрешенный внешний символ _DetourAttach@8 в функции _DllMain@12
dllmain.obj : error LNK2019: ссылка на неразрешенный внешний символ _DetourUpdateThread@4 в функции _DllMain@12
dllmain.obj : error LNK2019: ссылка на неразрешенный внешний символ _DetourTransactionBegin@0 в функции _DllMain@12
c:\documents and settings\sman\мои документы\visual studio 2010\Projects\msdetours\Debug\msdetours.dll : fatal error LNK1120: 5 неразрешенных внешних элементов

СБОЙ построения.

Затраченное время: 00:00:05.77
========== Перестроение всех: успешно: 0, с ошибками: 1, пропущено: 0 ==========

код:

https://www.google.com/search?q=unresolved+external+symbol

Спасибо, добавил 
всё заработало...

Прописал в реестре "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs" путь к своей dll,
запустил программу, но ничего не перехватывает...Поискал функцию внедрения, но тоже не работает...

Dll:


Main:


Это сообщение отредактировал(а) freezeman - 11.1.2012, 10:51

не перехватывает после перезагрузки?

Я прописал в реестр путь к dll, но ничего не происходит... Сделал перехват MessageBox, запустил MessageBox'ы в разных приложениях системы, но ничего не происходит... в чем может быть проблема?

Да, перезагружал..

Что делать, если после того, как я прописал путь к подгружаемой dll в регистре "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs" она (dll) не хочет подключаться ни к одному процессу...может я допустил какую-нибудь типичную ошибку, код приводил выше...

После добавления в регистр комп. перегружал, ОС Windows XP x86 SP3.

Во-первых, извини, с appinit_dlls - это всё-таки вредный совет. Из-за особенностей работы стандартных библиотек в VC (есть подозрение, что из-за поддержки расширений .NET), DLL-ка с перехватчиком неправильно инициализируется, что вообще может грохнуть систему. Так что придется этот вариант отложить. А не подключается у тебя перехватчик потому, что в пути к нему есть пробелы, а пробелы используются как разделитель списка библиотек. Нужно либо скопировать библиотеку в папку без них, либо использовать короткие имена файлов, которые можно получить winapi-функцией GetShortPathName.

Во-вторых, прежде чем писать код, пойми, как работает перехватчик: он, внедряясь в процесс, переписывает несколько инструкций в начале перехватываемой функции переходом (jmp) к предоставленной тобой функции. Если ты, как сделал выше, попробуешь из MyMessBox вызвать MessageBox, то программа просто уйдет в бесконечный цикл. Именно поэтому функция DetourAttach принимает указатель на указатель - перед перехватом она выделяет блок памяти, в который копирует заменяемые инструкции, и дописывает в него переход на остаток функции в обход уже записанного туда перехода на твою функцию и заменяет переданный указатель, чтобы он указывал на этот блок памяти. Когда тебе потребуется оригинал функции, ты используешь его.

В итоге код библиотеки выглядит как-то так:


Теперь о том, как без appinit_dlls цеплять её к процессам. В статье на RSDN в разделе "Внедрение 1" есть подходящий для этого код, надо только обернуть struct INJECTORCODE в блок #pragma pack(push,1) / #pragma pack(pop), чтобы убрать выравнивание. Разве что искать id нужных процессов придется, самостоятельно. А вот сам их способ перехвата лучше не использовать - в detours он надежнее.

actuator большое спасибо за помощь, буду пробовать...
благодарю также всех за помощь...

Пробовал внедрить, как описано на rsdn, но при инъекции выдает звуковой сигнал и всё... Прописал в реестре без пробелов и действительно заработало, но выдает сообщения из DLL_PROCESS_ATTACH и DLL_PROCESS_DETACH, но не перенаправляет на MyMessBox, а при выходе из почти любого приложения появляется сообщение "Инструкция по адресу "0x7c9100e8" обратилась к памяти по адресу "0x00000010". Память не может быть "read" ". В чем может быть проблема?


Переделал Вашу dll-ку для перехвата функции ReadFile... Перехватывает, заходит в функцию, но при выходе из приложения выдает туже ошибку
"Инструкция по адресу "0x7c9100e8" обратилась к памяти по адресу "0x00000010". Память не может быть "read" "


Это сообщение отредактировал(а) freezeman - 11.1.2012, 22:52

Что если реализовать какой-нибудь обработчик ошибок и перехватить её? Например, try ... catch...

Не исключениями, а JIT-отладчиком. Если у тебя только express-версии среды, скачай какой-нибудь OllyDbg, назначь его отладчиком по умолчанию и прогони на отладочной сборке перехватчика - покажет, какая функция роняет программу. Ничего подробнее сказать не могу, пока не покажешь код.

Если сделал все правильно... Запустил через OllyDbg notepad.exe и когда закрываю программу отладчик указывает на 
7C9100E8   . 0B43 10        OR EAX,DWORD PTR DS:[EBX+10]

эти данные нужно было отследить?


Это сообщение отредактировал(а) freezeman - 13.1.2012, 13:40

Нет, нужно по содержимому стека (там, где ты смотрел - правое нижнее окно) посмотреть цепочку вызовов, скорее всего там будет вызов твоей библиотеки (заодно укажи в меню Debug -> Select path for symbols папку, где у тебя лежит .pdb-шка от библиотеки, обычно там же где она сама - так будут доступны более подробные символы).
Хотя я уверен, что ошибка где-то у тебя в коде - может, указатель провисший. Проверь также настройки компиляции - "C/C++ -> Создание кода, Библиотека времени выполнения - многопоточная".

Это сообщение отредактировал(а) actuator - 13.1.2012, 15:08

Вот скрин отладчика... img 


По поводу локального перехвата, я переписал вариант с rsdn и написал тестовое приложение, которое использует api readfile, после внедрения он эту функцию прекрасно перехватил, но когда внедряю в другие процессы, то он заходит, но не перехватывает.

вот код инъектора



Это сообщение отредактировал(а) freezeman - 13.1.2012, 17:05

Вот, сделал программку, пишущую c:\readfile-log\readfile-log.txt файлик с аргументами всех вызовов твоего ReadFile для заданного процесса: http://ifolder.ru/28114248. Папку создай, у тебя должны быть в ней права на запись. Запускаешь так:

injector.exe <pid процесса> <полный путь к library.dll>

У меня никаких падений не наблюдается. Если у тебя не заработает - то помочь не смогу. В коде просто нечему падать.

Хоть и вылетает ошибка, но у ладно с ней, решу позже...Решил проверить на Windows 7 x86, но ничего не происходит, не перехватывается...прописал в путь к моей dll в реестре...что это моджет быть? Мне казалось, что MS Detours подходит для всех систем семейства Windows NT...

Все-таки используешь appinit_dlls? Вот потому и не работает, я уже писал выше. Майкрософтовская библиотека при этом глючит. Делай процесс и подключай библиотеку через него него. Если нужен перехват системных процессов - делай программу службой и назначай запуск от имени администратора.
Ну а чтобы включить appinit_dlls на windows 7, нужно изменить ещё пару ключей реестра.

Большое спасибо за помощь!!