Microsoft MVP성태의 닷넷 이야기
VC++: 58. API Hooking - 64비트를 고려해야 한다면? EasyHook! [링크 복사], [링크+제목 복사]
조회: 22192
글쓴 사람
홈페이지
첨부 파일

API Hooking - 64비트를 고려해야 한다면? EasyHook!

지난 번에 "Trampoline API Hooking" 방식을 알아봤는데요.

Win32 API 후킹 - Trampoline API Hooking
; https://www.sysnet.pe.kr/2/0/1231

이 방법의 단점은, 아쉽게도 x64 지원이 안된다는 것입니다. 물론, 이래 저래 뜯어고치면 되겠지만 '안정성'을 확보할 수 있는 실력이 안된다면 ^^ 차선책을 고려해볼 수 있습니다. 그렇게 선택될 수 있는 첫번째가 그 누구도 아닌 '마이크로소프트' 스스로 개발한 후킹 라이브러리가 있으니, 바로 "Detours"가 그것입니다.

Detours 라이브러리를 이용한 Win32 API - Sleep 호출 가로채기
; https://www.sysnet.pe.kr/2/0/631

음... 그런데, 역시 단점이 없지 않습니다. 32비트/64비트 모두 지원하긴 하지만, 무료 버전은 32비트만 지원하고 64비트까지 지원하려면 반드시 유료 버전을 구매해야 합니다.

저 같은 평범한 개발자가 $9,999 를 지불하기에는 좀 그러하니, 다음으로 생각해 볼 것이 무료 중에 제법 안정적인 라이브러리가 없나 찾아보게 됩니다. 다행히, 이번달(2012-02) 마이크로소프트웨어 잡지에서 소개된 "EasyHook" 이 괜찮은 후보가 될 것 같습니다.

EasyHook - The reinvention of Windows API Hooking
; http://easyhook.codeplex.com/

LGPL 라이선스이기 때문에 상용에도 쓸 수 있고 DLL 로 링크해서 사용하면 아무런 문제가 없습니다. 그러다 만약 버그가 있다면 소스 코드를 다운로드 받아 버그를 수정한 후 원 저작자에게 알리면 버그 패치된 버전이 나올 것이고, 다시 그 DLL 을 링크해서 사용하면 됩니다.

'마이크로소프트웨어'에 기사를 쓴 '권용휘'님은 "Powered by EasyHook" 로고를 반드시 포함해야 한다고 했는데... 약간 오해가 있지 않나 싶습니다. 원 저작자는 이에 대해 다음과 같이 설명하고 있는데요.

I don't remember if this is covered by the LGPL but I would appreciate some kind of "Powered By" Banner/Icon/Notice. You will find an example at the bottom of this page.


그저 그래줬으면 감사하다는 것이지, 강제 사항은 아닙니다. 사실, 이걸 강제사항으로 넣으면 또 이상할 수도 있는데요. 가령 예를 들어서, UI 가 없는 Library 개발자라면 쓰지 말라는 것이나 다름없으니까요. 게다가 이렇게 라이브러리를 공개한 경우 '감시'수단이 현실적으로 적절하지 않습니다. 아래의 Q&A에서 원 저작자는,

Licensing question 
; http://easyhook.codeplex.com/discussions/236073

you just directly link with the c files it seems fine to me. But it is still a breach with the LGPL but I wouldn't mind in this particular case, as long as the product you are creating is not something like EasyHook.


소스 코드를 가져다 쓰는 것 조차도, EasyHook 과 같은 라이브러리를 만들려는 것이 아니라면 자신은 괜찮다는 입장을 취하고 있습니다. (물론, 공식 문서화 된 답변은 아니므로 이런 내용에 기대어 오버해석하는 것은 좋지 않습니다. ^^)

어쨌든, "Powered by" 로고에 대해서는 제가 질문을 올려놨는데 어떤 답이 오는지 한번 지켜보는 것도 재미있을 것 같습니다. ^^

About "Powered By" logo. 
; http://easyhook.codeplex.com/discussions/330548




그건 그렇고, 이제 라이브러리를 사용해 봐야겠지요. ^^

오늘 날짜 기준으로 안정화된 버전이라고 알려진 2.6 을 다운로드 받아 압축을 풀어놓고 자신의 C/C++ 프로젝트에서 EasyHook32.dll (또는 EasyHook64.dll) 을 링크한 후, 기본 소스를 다음과 같이 작성할 수 있습니다.

#include "stdafx.h"
#include "Win32Wrapper.h"

#include "..\Libraries\easyhook.h"

#if defined(_AMD64_)
#pragma comment(lib, "..\\Libraries\\EasyHook64.lib")
#else
#pragma comment(lib, "..\\Libraries\\EasyHook32.lib")
#endif

WIN32WRAPPER_API void fnWin32Wrapper_Hook(void)
{
    ...    
}

WIN32WRAPPER_API void fnWin32Wrapper_Unhook(void)
{
    ...
}

그럼, 지난 번에 했던 CoGetClassObject 후킹을 EasyHook 버전으로 한번 바꿔볼까요? ^^ 다행히 "마이크로소프트웨어" 잡지에 실린 기사에 자세한 설명이 되어 있어서 쉽게 다음과 같이 포팅을 할 수 있었습니다.

DWORD ACLEntries_CoGetClassObject[1] = { (DWORD)-1 }; 
HOOK_TRACE_INFO g_h_CoGetClassObject= {NULL}; 

HRESULT WINAPI New_CoGetClassObject(REFCLSID rclsid, DWORD dwClsContext, COSERVERINFO *pServerInfo, REFIID riid, LPVOID *ppv)
{
    if (CanBeActivated(rclsid) == FALSE)
    {
       return REGDB_E_CLASSNOTREG;
    }

    return CoGetClassObject(rclsid, dwClsContext, pServerInfo, riid, ppv);
}

WIN32WRAPPER_API void fnWin32Wrapper_Hook(void)
{
    HMODULE hModule = ::LoadLibrary(L"Ole32.dll");

    FARPROC farProc = ::GetProcAddress(hModule, "CoGetClassObject");
    if (farProc == NULL)
    {
        return;
    }

    LhInstallHook(farProc, New_CoGetClassObject,
        NULL, &g_h_CoGetClassObject);
    LhSetExclusiveACL(ACLEntries_CoGetClassObject, 1, &g_h_CoGetClassObject);
}

WIN32WRAPPER_API void fnWin32Wrapper_Unhook(void)
{
    LhUninstallAllHooks();
}

이전과 다른 점이 있다면, 소스 코드가 훨씬 더 간결해졌다는 점을 들 수 있겠고, 무엇보다도 x64/x86 모두 동작한다는 장점이 있습니다. (이렇게 잘 만들어진 라이브러리를 가져다 쓰는 것은 너무너무 행복한 일입니다. ^^)

이번에도 역시, 첨부한 소스코드는 "닷넷"에서 C/C++ DLL 함수를 불러서 처리하게 했고 이번에는 다음과 같이 Hook/Unhook 버튼을 두어 실행시에 테스트가 가능하도록 했습니다.

easyhook_1.png

첨부된 파일은 위의 코드를 포함한 예제 프로젝트입니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]





[최초 등록일: ]
[최종 수정일: 2/20/2012 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 



2012-03-26 11시29분
라이선스에 대해 다음과 같은 덧글이 달렸군요. ^^

From: spazzarama

If there is no UI within the project at all then perhaps some credit within the readme / documentation of your application.
The LGPL states that you should "give prominent notice" that the library (EasyHook) is used within your application. Where you choose to put this is up to you I guess.

정성태
2016-05-12 01시30분
정성태
2020-06-01 10시31분
파이썬으로 만들어졌고 javascript로 onEnter/onLeave 핸들러를 작성할 수 있는 도구입니다.

FridaTrace++ ? quick & dirty API monitor
; http://www.hexacorn.com/blog/2020/05/31/fridatrace-quick-dirty-api-monitor/
정성태

[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12265정성태7/10/202024오류 유형: 629. Visual Studio - 웹 애플리케이션 실행 시 "Unable to connect to web server 'IIS Express'." 오류 발생
12264정성태7/9/202021오류 유형: 628. docker: Error response from daemon: Conflict. The container name "..." is already in use by container "...".
12261정성태7/9/2020167VS.NET IDE: 148. 윈도우 10에서 .NET Core 응용 프로그램을 리눅스 환경에서 실행하는 2가지 방법 - docker, WSL 2 [3]
12260정성태7/8/202062.NET Framework: 926. C# - ETW를 이용한 ThreadPool 스레드 감시파일 다운로드1
12259정성태7/8/202021오류 유형: 627. nvlddmkm.sys의 BAD_POOL_HEADER BSOD 문제
12258정성태7/8/202086기타: 77. DataDog APM 간략 소개
12257정성태7/7/202055.NET Framework: 925. C# - ETW를 이용한 Monitor Enter/Exit 감시파일 다운로드1
12256정성태7/7/202098.NET Framework: 924. C# - Reflection으로 변경할 수 없는 readonly 정적 필드 [4]
12255정성태7/6/202066.NET Framework: 923. C# - ETW(Event Tracing for Windows)를 이용한 Finalizer 실행 감시파일 다운로드1
12254정성태7/2/202036오류 유형: 626. git - REMOTE HOST IDENTIFICATION HAS CHANGED!
12253정성태7/2/2020111.NET Framework: 922. C# - .NET ThreadPool의 Local/Global Queue파일 다운로드1
12252정성태7/2/202090.NET Framework: 921. C# - I/O 스레드를 사용한 비동기 소켓 서버/클라이언트파일 다운로드2
12251정성태7/1/2020116.NET Framework: 920. C# - 파일의 비동기 처리 유무에 따른 스레드 상황파일 다운로드2
12250정성태7/1/2020325.NET Framework: 919. C# - 닷넷에서의 진정한 비동기 호출을 가능케 하는 I/O 스레드 사용법 [1]파일 다운로드1
12249정성태6/29/202037오류 유형: 625. Microsoft SQL Server 2019 RC1 Setup - 설치 제거 시 Warning 26003 오류 발생
12248정성태6/29/202038오류 유형: 624. SQL 서버 오류 - service-specific error code 17051
12247정성태6/29/2020136.NET Framework: 918. C# - 불린 형 상수를 반환값으로 포함하는 3항 연산자 사용 시 단축 표현 권장(IDE0075) [2]파일 다운로드1
12246정성태6/29/202074.NET Framework: 917. C# - USB 관련 ETW(Event Tracing for Windows)를 이용한 키보드 입력을 감지하는 방법
12245정성태6/25/2020234.NET Framework: 916. C# - Task.Yield 사용법 (2) [2]파일 다운로드1
12244정성태6/29/2020106.NET Framework: 915. ETW(Event Tracing for Windows)를 이용한 닷넷 프로그램의 내부 이벤트 활용파일 다운로드1
12243정성태6/23/202066VS.NET IDE: 147. Visual C++ 프로젝트 - .NET Core EXE를 "Debugger Type"으로 지원하는 기능 추가
12242정성태6/24/202040오류 유형: 623. AADSTS90072 - User account '...' from identity provider 'live.com' does not exist in tenant 'Microsoft Services'
12241정성태6/26/2020127.NET Framework: 914. C# - Task.Yield 사용법파일 다운로드1
12240정성태6/23/202098오류 유형: 622. 소켓 바인딩 시 "System.Net.Sockets.SocketException: An attempt was made to access a socket in a way forbidden by its access permissions" 오류 발생
12239정성태6/21/202076Linux: 30. (윈도우라면 DLL에 속하는) .so 파일이 텍스트로 구성된 사례
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...