搜索

[14205] 2019-06-08_CoreHook：基于.NETCore运行时实现的WindowsHOOK库

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-08_CoreHook：基于.NETCore运行时实现的WindowsHOOK库 C o r e H o o k ： 基 于 . N E T   C o r e 运 行 时 实 现 的 W i n d o w s   H O O K 库 周 大 涛   F r e e B u f   2 0 1 9 - 0 6 - 0 8 今 天 为 大 家 介 绍 一 款 基 于 今 天 为 大 家 介 绍 一 款 基 于 . N E T   C o r e 运 行 时 实 现 的 运 行 时 实 现 的 W i n d o w s   H O O K 库 ， 库 ， C o r e H o o k 。 。 建 立 状 态 建 立 状 态 构 建 服 务 器 构 建 服 务 器 平 台 平 台 A p p V e y o r w i n d o w s A z u r e 管 道 L i n u x ， W i n d o w s T r a v i s   C I L i n u x 特 征 特 征 1 . 拦 截 公 共 A P I 函 数 ， 如 2 . 如 果 符 号 文 件 可 用 ， 则 按 地 址 或 名 称 拦 截 内 部 函 数 ； 3 . 支 持 插 件 库 的 N u G e t 包 引 用 ； 4 . 支 持 插 件 的 多 种 架 构 ； 有 关 更 多 信 息 ， 请 参 阅 w i k i 。 支 持 的 平 台 支 持 的 平 台 C o r e H o o k 支 持 在 运 行 W i n d o w s 的 各 种 体 系 结 构 上 进 行 应 用 程 序 函 数 调 用 拦 截 。 还 计 划 了 L i n u x 和 m a c O S 支 持 。 平 台 平 台 A r c h i t e c t u r e 操 作 系 统 操 作 系 统 x 8 6 W i n d o w s x 6 4 W i n d o w s A R M W i n d o w s   1 0   I o T   C o r e 经 过 测 试 的 平 台 经 过 测 试 的 平 台 操 作 系 统 操 作 系 统 架 构 架 构 W i n d o w s   7   S P 1 x 8 6 ， x 6 4 W i n d o w s   8 . 1 x 8 6 ， x 6 4 W i n d o w s   1 0 （ W i n 3 2 ） x 8 6 ， x 6 4 ， A R M W i n d o w s   1 0 （ U W P ） x 8 6 ， x 6 4 W i n d o w s   S e r v e r   2 0 0 8 x 8 6 ， x 6 4 W i n d o w s   S e r v e r   2 0 1 2 x 8 6 ， x 6 4 W i n d o w s   S e r v e r   2 0 1 6 x 8 6 ， x 6 4 W i n d o w s   S e r v e r   2 0 1 9 x 8 6 ， x 6 4 依 赖 依 赖 1 . . N E T 核 心 2 . C o r e H o o k . H o o k i n g 3 . C o r e H o o k . H o s t 例 子 例 子 1 . F i l e M o n i t o r   -   通 用 W i n d o w s 平 台 （ U W P ） 2 . F i l e M o n i t o r   -   W i n d o w s 桌 面 应 用 程 序 （ W i n 3 2 ） 插 件 示 例 插 件 示 例 1 . 可 以 在 此 存 储 库 中 找 到 更 多 插 件 示 例 用 法 用 法 w i n d o w s 如 果 要 构 建 C o r e H o o k 项 目 （ 例 如 ， 使 用 ） 而 不 发 布 它 ， 则 必 须 按 如 下 所 述 设 置 项 目 配 置 。 项 目 配 置 项 目 配 置 该 项 目 提 供 了 两 个 配 置 运 行 时 的 选 项 ： 名 为   （ 位 于 C o r e H o o k 输 出 目 录 中 的 程 序 集 ） 的 本 地 配 置 文 件 ， 用 于 初 始 化 C o r e C L R 。 全 局 配 置 文 件 。 主 机 模 块 将 首 先 尝 试 使 用 本 地 配 置 文 件 ， 然 后 它 将 检 查 全 局 配 置 文 件 （ 如 果 存 在 ） ， 最 后 它 将 使 用 程 序 集 的 目 录 来 解 析 依 赖 项 。 C r e a t e F i l e d o t n e t   b u i l d C o r e H o o k . C o r e L o a d . r u n t i m e c o n f i g . j s o n C o r e H o o k . C o r e L o a d . d l l d o t n e t . r u n t i m e c o n f i g . j s o n C o r e H o o k . C o r e L o a d . d l l
该 文 件 必 须 包 含 用 于 在 目 标 应 用 程 序 中 托 管 . N E T   C o r e 的 框 架 信 息 。 构 建 任 何 . N E T   C o r e 应 用 程 序 时 ， 会 将 这 些 文 件 生 成 到 输 出 目 录 。 有 关 配 置 选 项 的 更 多 信 息 ， 请 参 见 此 处 。 你 可 以 使 用 和 构 建 输 出 目 录 中 文 件 作 为 创 建 全 局 或 本 地 配 置 文 件 的 参 考 。 运 行 时 配 置 文 件 应 如 下 所 示 ， 其 中 包 含 主 机 模 块 可 以 检 查 其 他 依 赖 项 的 文 件 路 径 。 本 指 南 假 设 您 已 为 x 8 6 和 x 6 4 体 系 结 构 安 装 了 运 行 时 或 S D K 。 注 意 ： 使 用 注 意 ： 使 用   本 地 计 算 机 用 户 名 替 换 或 修 改 指 向 本 地 计 算 机 用 户 名 替 换 或 修 改 指 向 N u G e t 软 件 包 安 装 位 置 的 路 径 。 看 看 软 件 包 安 装 位 置 的 路 径 。 看 看 C o r e H o o k . F i l e M o n i t o r . r u n t i m e c o n f i g . d e v . j s o n 在 输 出 目 录 中 找 到 。 在 输 出 目 录 中 找 到 。 本 地 配 置 本 地 配 置 要 使 用 本 地 配 置 ， 请 创 建 一 个 包 含 上 述 内 容 的 文 件 ， 并 将 其 保 存 到 所 在 的 项 目 输 出 目 录 中 。 全 局 配 置 全 局 配 置 要 使 用 全 局 配 置 ， 请 首 先 使 用 上 述 内 容 创 建 一 个 文 件 并 将 其 保 存 到 文 件 夹 中 。 这 将 是 项 目 用 于 初 始 化 目 标 进 程 中 的 运 行 时 的 全 局 配 置 文 件 。 在 此 示 例 中 ， 我 们 的 文 件 保 存 在 。 将 和 应 用 程 序 的 环 境 变 量 设 置 为 运 行 时 配 置 文 件 的 目 录 。 这 允 许 您 为 应 用 程 序 和 应 用 程 序 提 供 不 同 的 配 置 文 件 。 例 如 （ 如 果 您 将 文 件 保 存 为 另 一 个 安 装 目 录 或 驱 动 器 ， 请 确 保 使 用 该 路 径 ） : 1 . 设 置 到 了 应 用 。 2 . 设 置 到 了 应 用 。 或 者 将 它 们 设 置 为 当 前 命 令 提 示 会 话 ： 然 后 ， 您 可 以 打 开 解 决 方 案 或 运 行 以 构 建 库 和 示 例 。 安 装 依 赖 项 安 装 依 赖 项 从 C o r e H o o k . H o o k i n g 和 C o r e H o o k . H o s t 构 建 或 下 载 二 进 制 版 本 。 您 可 以 使 用 d o w n l o a d - d e p s 脚 本 ， 该 脚 本 将 最 新 的 二 进 制 版 本 下 载 到 项 目 根 目 录 中 调 用 的 文 件 夹 中 。 将 和 / 或 二 进 制 文 件 放 在 程 序 的 输 出 目 录 中 。 然 后 ， 将 和 / 或 二 进 制 文 件 放 在 同 一 个 输 出 目 录 中 。 这 些 是 使 用 上 述 示 例 所 需 的 所 有 文 件 。 然 后 ， 您 可 以 启 动 上 面 构 建 的 程 序 。 W i n d o w s   1 0   U W P 您 可 以 使 用 此 脚 本 获 取 为 F i l e M o n i t o r 示 例 启 动 U W P 应 用 程 序 所 需 的 应 用 程 序 用 户 模 型 标 识 （ A U M I D ） ： 您 可 以 使 用 变 量 打 印 列 表 。 注 意 ： 注 意 ： 目 前 无 法 在 . N E T   C o r e 平 台 上 的 管 道 上 设 置 正 确 的 访 问 控 制 ， 此 处 正 在 跟 踪 问 题 ， 因 此 我 们 使 用 P   /   I n v o k e   直 接 调 用 。 W i n d o w s   1 0 物 联 网 （ 物 联 网 （ A R M ） ） R a s p b e r r y   P i 本 身 仅 作 为 部 署 目 标 受 支 持 ， 但 也 有 不 受 支 持 的 本 身 仅 作 为 部 署 目 标 受 支 持 ， 但 也 有 不 受 支 持 的 S D K 版 本 。 按 照 此 链 接 阅 读 有 关 发 布 过 程 的 更 多 信 息 。 版 本 。 按 照 此 链 接 阅 读 有 关 发 布 过 程 的 更 多 信 息 。 对 于 ， 您 可 以 通 过 运 行   P o w e r S h e l l 脚 本 来 发 布 应 用 程 序 。 确 保 还 要 复 制 和 程 序 目 录 。 例 如 ， 应 用 程 序 目 录 结 构 应 如 下 所 示 ： 然 后 ， 您 可 以 将 该 文 件 夹 复 制 到 您 的 设 备 并 启 动 该 程 序 。 发 布 脚 本 发 布 脚 本 P o w e r S h e l l 脚 本 允 许 您 将 示 例 发 布 为 自 包 含 的 可 执 行 文 件 。 默 认 配 置 是 ， 输 出 将 在 目 录 中 ， 在 与 发 布 脚 本 相 同 的 位 置 创 建 。 例 如 ， 命 令 将 创 建 一 个 名 为 包 含 该 示 例 的 文 件 夹 。 W i n d o w s 符 号 支 持 符 号 支 持 C o r e H o o k 支 持 从 P D B 查 找 符 号 名 称 以 获 取 使 用 的 函 数 地 址 。 要 使 符 号 查 找 起 作 用 ， 您 必 须 将 P D B 文 件 放 在 要 挂 钩 的 目 标 程 序 的 目 录 中 ， 或 将 环 境 变 量 设 置 为 符 号 服 务 器 。 您 可 以 从 此 处 的 M i c r o s o f t 文 档 中 了 解 有 关 W i n d o w s 符 号 支 持 的 更 多 信 息 。 要 点 ： 要 点 ： 要 使 用 完 整 的 符 号 查 找 ， 您 需 要 同 时 拥 有 （ 提 供 符 号 查 找 A P I ） 和 （ 提 供 符 号 服 务 器 查 找 ） 并 在 D L L 搜 索 路 径 中 。 您 可 以 将 这 些 文 件 添 加 到 目 标 程 序 的 目 录 中 ， 也 可 以 将 它 们 添 加 到 路 径 中 。 您 可 以 通 过 安 装   W i n d o w s 调 试 工 具 调 试 工 具 来 获 取 这 两 个 D L L   。 您 可 以 找 到 和 的 示 例 位 置 ： 1 . ％ ％ P R O G R A M F I L E S （ （ X 8 6 ） ％ ） ％   W i n d o w s   K i t s     1 0     D e b u g g e r s     x 8 6 （ 适 用 于 3 2 位 应 用 程 序 ） 2 . ％ ％ P R O G R A M F I L E S （ （ X 8 6 ） ％ ） ％   W i n d o w s   K i t s     1 0     D e b u g g e r s     x 6 4 （ 适 用 于 6 4 位 应 用 程 序 ） r u n t i m e c o n f i g C o r e H o o k . F i l e M o n i t o r . r u n t i m e c o n f i g . j s o n C o r e H o o k . F i l e M o n i t o r . r u n t i m e c o n f i g . d e v . j s o n a d d i t i o n a l P r o b i n g P a t h s . N E T   C o r e   2 . 2     {           " r u n t i m e O p t i o n s " :   {               " t f m " :   " n e t c o r e a p p 2 . 2 " ,               " f r a m e w o r k " :   {                   " n a m e " :   " M i c r o s o f t . N E T C o r e . A p p " ,                   " v e r s i o n " :   " 2 . 2 . 0               } ,               " a d d i t i o n a l P r o b i n g P a t h s C o r e H o o k . C o r e L o a d . r u n t i m e c o n f i g . j s o n C o r e H o o k . C o r e L o a d . d l l d o t n e t . r u n t i m e c o n f i g . j s o n C : C o r e H o o k d o t n e t . r u n t i m e c o n f i g . j s o n x 8 6 x 6 4 3 2 - b i t 6 4 - b i t C O R E _ R O O T _ 3 2 C : C o r e H o o k 3 2 - b i t C O R E _ R O O T _ 6 4 C : C o r e H o o k 6 4 - b i t s e t x     C O R E _ R O O T _ 6 4     “ C ：   C o r e H o o k ”     s e t x     C O R E _ R O O T _ 3 2     “ C ：   C o r e H o o k ”   s e t   C O R E _ R O O T _ 6 4 = C : C o r e H o o k   s e t   C O R E _ R O O T _ 3 2 = C : C o r e H o o k   C o r e H o o k V i s u a l   S t u d i o d o t n e t   b u i l d d e p s c o r e l o a d 3 2 . d l l   ( X 8 6 ,   A R M ) c o r e l o a d 6 4 . d l l   ( X 6 4 ,   A R M 6 4 ) c o r e h o o k 3 2 . d l l   ( X 8 6 ,   A R M ) c o r e h o o k 6 4 . d l l   ( X 6 4 ,   A R M 6 4 )     $ i n s t a l l e d a p p s   =   g e t - A p p x P a c k a g e               $ a u m i d L i s t   =   @ ( )       f o r e a c h   ( $ a p p   i n   $ i n s t a l l e d a p p s )       {               f o r e a c h   ( $ i d   i n   ( G e t - A p p x P a c k a g e M a n i f e s t   $ a p p ) . p a c k a g e . a p p l i c a t i o n s . a p p l i c a t i o n . i d )               {                       $ a u m i d L i s t k e r n e l 3 2 . d l l ! C r e a t e N a m e d P i p e W i n d o w s   1 0   I o T   C o r e p u b l i s h . p s 1 . p u b l i s h   - e x a m p l e   w i n 3 2   - r u n t i m e   w i n - a r m c o r e l o a d 3 2 . d l l c o r e h o o k 3 2 . d l l     [ + ] P u b l i s h w i n 3 2 w i n - a r m               [ + ] H o o k                       . . .                       [ - ]   C o r e H o o k . F i l e M o n i t o r . H o o k . d e p s . j s o n                       [ - ]   C o r e H o o k . F i l e M o n i t o r . H o o k . d l l                       . . .               . . .                       C o r e H o o k . F i l e M o n i t o r . e x e p u b l i s h . p s 1 R e l e a s e P u b l i s h . p u b l i s h   - e x a m p l e   [ u w p | w i n 3 2 ]   - r u n t i m e   [ R u n t i m e   I D e n t i f i e r ]   - c o n f i g u r a t i o n   [ D e b u g | R e l e a s e ]   . p u b l i s h   - e x a m p l e   w i n 3 2   - r u n t i m e   w i n 1 0 - a r m         P u b l i s h / w i n 3 2 / w i n 1 0 - a r m / C o r e H o o k . F i l e M o n i t o r L o c a l H o o k . G e t P r o c A d d r e s s _ N T _ S Y M B O L _ P A T H d b g h e l p . d l l s y m s r v . d l l d b g h e l p . d l l s y m s r v . d l l
您 可 以 将 环 境 变 量 设 置 为 的 示 例 如 下 ： 该 文 件 夹 是 本 地 缓 存 目 录 ， 可 以 存 储 或 下 载 符 号 文 件 。 当 W i n d o w s 需 要 检 索 D L L 的 P D B 时 ， 它 可 以 从 中 下 载 它 们 并 将 它 们 存 储 在 一 个 文 件 夹 中 供 调 试 器 使 用 。 您 可 以 通 过 运 行 符 号 测 试 来 确 认 是 否 正 确 配 置 了 符 号 支 持 。 * 参 考 来 源 ： 参 考 来 源 ： g i t h u b ， ， F B 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文 _ N T _ S Y M B O L _ P A T H s r v * C : S y m b o l C a c h e * h t t p s : / / m s d l . m i c r o s o f t . c o m / d o w n l o a d s / s y m b o l s   C : S y m b o l C a c h e [ h t t p s : / / m s d l . m i c r o s o f t . c o m / d o w n l o a d s / s y m b o l s ] ( h t t p s : / / m s d l . m i c r o s o f t . c o m / d o w n l o a d s / s y m b o l s )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理