J & J - 정성태의 닷넷 이야기

사용자

메뉴

최근 덧글

[정성태] 그냥 RSS Reader 기능과 약간의 UI 편의성 때문에 사용...[이종효] 오래된 소프트웨어는 보안 위협이 되기도 합니다. 혹시 어떤 기능...[정성태] @Keystroke IEEE의 문서를 소개해 주시다니... +_...[손민수 (Keystroke)] 괜히 듀얼채널 구성할 때 한번에 같은 제품 사라고 하는 것이 아...[정성태] 전각(Full-width)/반각(Half-width) 기능을 토...[정성태] Vector에 대한 내용은 없습니다. Vector가 닷넷 BCL...[orion] 글 읽고 찾아보니 디자인 타임에는 InitializeCompon...[orion] 연휴 전에 재현 프로젝트 올리자 생각해 놓고 여의치 않아서 못 ...[정성태] 아래의 글에 정리했으니 참고하세요. C# - Typed D...[정성태] 간단한 재현 프로젝트라도 있을까요? 저런 식으로 설명만 해...

글쓰기

제목

이름

암호

전자우편

HTML

홈페이지

유형

내용

<div style='display: inline'>
<h1 style='font-family: Malgun Gothic, Consolas; font-size: 20pt; color: #006699; text-align: center; font-weight: bold'>API Hooking - 64비트를 고려해야 한다면? EasyHook!</h1>

지난번에 "Trampoline API Hooking" 방식을 알아봤는데요. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Win32 API 후킹 - Trampoline API Hooking
; <a target='tab' href='http://www.sysnet.pe.kr/2/0/1231'>http://www.sysnet.pe.kr/2/0/1231</a>
</pre>
 
이 방법의 단점은, 아쉽게도 x64 지원이 안된다는 것입니다. 물론, 이래 저래 뜯어고치면 되겠지만 '안정성'을 확보할 수 있는 실력이 안된다면 ^^ 차선책을 고려해볼 수 있습니다. 그렇게 선택될 수 있는 첫 번째가 그 누구도 아닌 '마이크로소프트' 스스로 개발한 후킹 라이브러리가 있으니, 바로 "Detours"가 그것입니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Detours 라이브러리를 이용한 Win32 API - Sleep 호출 가로채기
; <a target='tab' href='http://www.sysnet.pe.kr/2/0/631'>http://www.sysnet.pe.kr/2/0/631</a>
</pre>
 
(<a targe='tab' href='https://www.sysnet.pe.kr/2/0/11764'>MIT 라이선스로 무료 공개된 Detours API 후킹 라이브러리</a>) <strike>음... 그런데, 역시 단점이 없지 않습니다. 32비트/64비트 모두 지원하긴 하지만, 무료 버전은 32비트만 지원하고 64비트까지 지원하려면 반드시 유료 버전을 구매해야 합니다. 
 
저 같은 평범한 개발자가 $9,999를 지불하기에는 좀 그러하니, 다음으로 생각해 볼 것이 무료 중에 제법 안정적인 라이브러리가 없나 찾아보게 됩니다.</strike> 다행히, 이번 달(2012-02) 마이크로소프트웨어 잡지에서 소개된 "EasyHook"이 괜찮은 후보가 될 것 같습니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
EasyHook - The reinvention of Windows API Hooking
; http://easyhook.codeplex.com/
; <a target='tab' href='https://github.com/EasyHook/EasyHook/'>https://github.com/EasyHook/EasyHook/</a>
</pre>
 
LGPL 라이선스이기 때문에 상용에도 쓸 수 있고 DLL로 링크해서 사용하면 아무런 문제가 없습니다. 그러다 만약 버그가 있다면 소스 코드를 다운로드해 버그를 수정한 후 원 저작자에게 알리면 버그 패치된 버전이 나올 것이고, 다시 그 DLL을 링크해서 사용하면 됩니다. 
 
'마이크로소프트웨어'에 기사를 쓴 '권용휘' 님은 "Powered by EasyHook" 로고를 반드시 포함해야 한다고 했는데... 약간 오해가 있지 않나 싶습니다. 원 저작자는 이에 대해 다음과 같이 설명하고 있는데요. 
 
<div style='BACKGROUND-COLOR: #ccffcc; padding: 10px 10px 5px 10px; MARGIN: 0px 10px 10px 10px; FONT-FAMILY: Malgun Gothic, Consolas, Verdana; COLOR: #005555'>
I don't remember if this is covered by the LGPL but I would appreciate some kind of "Powered By" Banner/Icon/Notice. You will find an example at the bottom of this page.
</div> 
 
그래줬으면 감사하다는 것이지, 강제 사항은 아닙니다. 사실, 이걸 강제 사항으로 넣으면 또 이상할 수도 있는데요. 가령 예를 들어서, UI가 없는 Library 개발자라면 쓰지 말라는 것이나 다름없으니까요. 게다가 이렇게 라이브러리를 공개한 경우 '감시' 수단이 현실적으로 적절하지 않습니다. 아래의 Q&amp;A에서 원 저작자는, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Licensing question 
; <a target='tab' href='http://easyhook.codeplex.com/discussions/236073'>http://easyhook.codeplex.com/discussions/236073</a>
</pre>
 
<div style='BACKGROUND-COLOR: #ccffcc; padding: 10px 10px 5px 10px; MARGIN: 0px 10px 10px 10px; FONT-FAMILY: Malgun Gothic, Consolas, Verdana; COLOR: #005555'>
you just directly link with the c files it seems fine to me. But it is still a breach with the LGPL but I wouldn't mind in this particular case, as long as the product you are creating is not something like EasyHook. 
</div> 
 
소스 코드를 가져다 쓰는 것 조차도, EasyHook과 같은 라이브러리를 만들려는 것이 아니라면 자신은 괜찮다는 입장을 취하고 있습니다. (물론, 공식 문서화된 답변은 아니므로 이런 내용에 기대어 오버 해석하는 것은 좋지 않습니다. ^^) 
 
어쨌든, "Powered by" 로고에 대해서는 제가 질문을 올려놨는데 어떤 답이 오는지 한번 지켜보는 것도 재미있을 것 같습니다. ^^ 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
About "Powered By" logo. 
; <a target='tab' href='http://easyhook.codeplex.com/discussions/330548'>http://easyhook.codeplex.com/discussions/330548</a>
</pre>
 
<hr style='width: 50%' /> 
 
그건 그렇고, 이제 라이브러리를 사용해 봐야겠지요. ^^ 
 
오늘 날짜 기준으로 안정화된 버전이라고 알려진 2.6을 다운로드/압축을 풀어놓고 자신의 C/C++ 프로젝트에서 EasyHook32.dll(또는 EasyHook64.dll)을 링크한 후, 기본 소스를 다음과 같이 작성할 수 있습니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
#include "stdafx.h"
#include "Win32Wrapper.h"

#include "..\Libraries\easyhook.h"

#if defined(_AMD64_)
#pragma comment(lib, "..\\Libraries\\EasyHook64.lib")
#else
#pragma comment(lib, "..\\Libraries\\EasyHook32.lib")
#endif

WIN32WRAPPER_API void fnWin32Wrapper_Hook(void)
{
    ...    
}

WIN32WRAPPER_API void fnWin32Wrapper_Unhook(void)
{
 ...
}
</pre>
 
그럼, <a target='tab' href='http://www.sysnet.pe.kr/2/0/1232'>지난번에 했던 CoGetClassObject 후킹</a>을 EasyHook 버전으로 한번 바꿔볼까요? ^^ 다행히 "마이크로소프트웨어" 잡지에 실린 기사에 자세한 설명이 되어 있어서 쉽게 다음과 같이 포팅을 할 수 있었습니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
DWORD ACLEntries_CoGetClassObject[1] = { (DWORD)-1 }; 
HOOK_TRACE_INFO g_h_CoGetClassObject= {NULL};

HRESULT WINAPI New_CoGetClassObject(REFCLSID rclsid, DWORD dwClsContext, COSERVERINFO *pServerInfo, REFIID riid, LPVOID *ppv)
{
    if (CanBeActivated(rclsid) == FALSE)
    {
       return REGDB_E_CLASSNOTREG;
    }

return CoGetClassObject(rclsid, dwClsContext, pServerInfo, riid, ppv);
}

WIN32WRAPPER_API void fnWin32Wrapper_Hook(void)
{
    HMODULE hModule = ::LoadLibrary(L"Ole32.dll");

FARPROC farProc = ::GetProcAddress(hModule, "CoGetClassObject");
    if (farProc == NULL)
    {
        return;
    }

LhInstallHook(farProc, New_CoGetClassObject,
 NULL, &amp;g_h_CoGetClassObject);
 LhSetExclusiveACL(ACLEntries_CoGetClassObject, 1, &amp;g_h_CoGetClassObject);
}

WIN32WRAPPER_API void fnWin32Wrapper_Unhook(void)
{
 LhUninstallAllHooks();
}
</pre>
 
이전과 다른 점이 있다면, 소스 코드가 훨씬 더 간결해졌다는 점을 들 수 있겠고, 무엇보다도 x64/x86 모두 동작한다는 장점이 있습니다. (이렇게 잘 만들어진 라이브러리를 가져다 쓰는 것은 너무너무 행복한 일입니다. ^^) 
 
이번에도 역시, 첨부한 소스 코드는 "닷넷"에서 C/C++ DLL 함수를 불러서 처리하게 했고 다음과 같이 Hook/Unhook 버튼을 두어 실행 시에 테스트가 가능하도록 했습니다. 
 
<img alt='easyhook_1.png' src='/SysWebRes/bbs/easyhook_1.png' /> 
 
<a target='tab' href='http://www.sysnet.pe.kr/bbs/DownloadAttachment.aspx?fid=696&amp;boardid=331301885'>첨부된 파일은 위의 코드를 포함한 예제 프로젝트</a>입니다.

<hr />[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]
</div>

첨부파일

스팸 방지용 인증 번호

1529 (왼쪽의 숫자를 입력해야 합니다.)