Microsoft MVP성태의 닷넷 이야기
VC++: 58. API Hooking - 64비트를 고려해야 한다면? EasyHook! [링크 복사], [링크+제목 복사]
조회: 22594
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일

API Hooking - 64비트를 고려해야 한다면? EasyHook!

지난 번에 "Trampoline API Hooking" 방식을 알아봤는데요.

Win32 API 후킹 - Trampoline API Hooking
; https://www.sysnet.pe.kr/2/0/1231

이 방법의 단점은, 아쉽게도 x64 지원이 안된다는 것입니다. 물론, 이래 저래 뜯어고치면 되겠지만 '안정성'을 확보할 수 있는 실력이 안된다면 ^^ 차선책을 고려해볼 수 있습니다. 그렇게 선택될 수 있는 첫번째가 그 누구도 아닌 '마이크로소프트' 스스로 개발한 후킹 라이브러리가 있으니, 바로 "Detours"가 그것입니다.

Detours 라이브러리를 이용한 Win32 API - Sleep 호출 가로채기
; https://www.sysnet.pe.kr/2/0/631

음... 그런데, 역시 단점이 없지 않습니다. 32비트/64비트 모두 지원하긴 하지만, 무료 버전은 32비트만 지원하고 64비트까지 지원하려면 반드시 유료 버전을 구매해야 합니다.

저 같은 평범한 개발자가 $9,999 를 지불하기에는 좀 그러하니, 다음으로 생각해 볼 것이 무료 중에 제법 안정적인 라이브러리가 없나 찾아보게 됩니다. 다행히, 이번달(2012-02) 마이크로소프트웨어 잡지에서 소개된 "EasyHook" 이 괜찮은 후보가 될 것 같습니다.

EasyHook - The reinvention of Windows API Hooking
; http://easyhook.codeplex.com/

LGPL 라이선스이기 때문에 상용에도 쓸 수 있고 DLL 로 링크해서 사용하면 아무런 문제가 없습니다. 그러다 만약 버그가 있다면 소스 코드를 다운로드 받아 버그를 수정한 후 원 저작자에게 알리면 버그 패치된 버전이 나올 것이고, 다시 그 DLL 을 링크해서 사용하면 됩니다.

'마이크로소프트웨어'에 기사를 쓴 '권용휘'님은 "Powered by EasyHook" 로고를 반드시 포함해야 한다고 했는데... 약간 오해가 있지 않나 싶습니다. 원 저작자는 이에 대해 다음과 같이 설명하고 있는데요.

I don't remember if this is covered by the LGPL but I would appreciate some kind of "Powered By" Banner/Icon/Notice. You will find an example at the bottom of this page.


그저 그래줬으면 감사하다는 것이지, 강제 사항은 아닙니다. 사실, 이걸 강제사항으로 넣으면 또 이상할 수도 있는데요. 가령 예를 들어서, UI 가 없는 Library 개발자라면 쓰지 말라는 것이나 다름없으니까요. 게다가 이렇게 라이브러리를 공개한 경우 '감시'수단이 현실적으로 적절하지 않습니다. 아래의 Q&A에서 원 저작자는,

Licensing question 
; http://easyhook.codeplex.com/discussions/236073

you just directly link with the c files it seems fine to me. But it is still a breach with the LGPL but I wouldn't mind in this particular case, as long as the product you are creating is not something like EasyHook.


소스 코드를 가져다 쓰는 것 조차도, EasyHook 과 같은 라이브러리를 만들려는 것이 아니라면 자신은 괜찮다는 입장을 취하고 있습니다. (물론, 공식 문서화 된 답변은 아니므로 이런 내용에 기대어 오버해석하는 것은 좋지 않습니다. ^^)

어쨌든, "Powered by" 로고에 대해서는 제가 질문을 올려놨는데 어떤 답이 오는지 한번 지켜보는 것도 재미있을 것 같습니다. ^^

About "Powered By" logo. 
; http://easyhook.codeplex.com/discussions/330548




그건 그렇고, 이제 라이브러리를 사용해 봐야겠지요. ^^

오늘 날짜 기준으로 안정화된 버전이라고 알려진 2.6 을 다운로드 받아 압축을 풀어놓고 자신의 C/C++ 프로젝트에서 EasyHook32.dll (또는 EasyHook64.dll) 을 링크한 후, 기본 소스를 다음과 같이 작성할 수 있습니다.

#include "stdafx.h"
#include "Win32Wrapper.h"

#include "..\Libraries\easyhook.h"

#if defined(_AMD64_)
#pragma comment(lib, "..\\Libraries\\EasyHook64.lib")
#else
#pragma comment(lib, "..\\Libraries\\EasyHook32.lib")
#endif

WIN32WRAPPER_API void fnWin32Wrapper_Hook(void)
{
    ...    
}

WIN32WRAPPER_API void fnWin32Wrapper_Unhook(void)
{
    ...
}

그럼, 지난 번에 했던 CoGetClassObject 후킹을 EasyHook 버전으로 한번 바꿔볼까요? ^^ 다행히 "마이크로소프트웨어" 잡지에 실린 기사에 자세한 설명이 되어 있어서 쉽게 다음과 같이 포팅을 할 수 있었습니다.

DWORD ACLEntries_CoGetClassObject[1] = { (DWORD)-1 }; 
HOOK_TRACE_INFO g_h_CoGetClassObject= {NULL}; 

HRESULT WINAPI New_CoGetClassObject(REFCLSID rclsid, DWORD dwClsContext, COSERVERINFO *pServerInfo, REFIID riid, LPVOID *ppv)
{
    if (CanBeActivated(rclsid) == FALSE)
    {
       return REGDB_E_CLASSNOTREG;
    }

    return CoGetClassObject(rclsid, dwClsContext, pServerInfo, riid, ppv);
}

WIN32WRAPPER_API void fnWin32Wrapper_Hook(void)
{
    HMODULE hModule = ::LoadLibrary(L"Ole32.dll");

    FARPROC farProc = ::GetProcAddress(hModule, "CoGetClassObject");
    if (farProc == NULL)
    {
        return;
    }

    LhInstallHook(farProc, New_CoGetClassObject,
        NULL, &g_h_CoGetClassObject);
    LhSetExclusiveACL(ACLEntries_CoGetClassObject, 1, &g_h_CoGetClassObject);
}

WIN32WRAPPER_API void fnWin32Wrapper_Unhook(void)
{
    LhUninstallAllHooks();
}

이전과 다른 점이 있다면, 소스 코드가 훨씬 더 간결해졌다는 점을 들 수 있겠고, 무엇보다도 x64/x86 모두 동작한다는 장점이 있습니다. (이렇게 잘 만들어진 라이브러리를 가져다 쓰는 것은 너무너무 행복한 일입니다. ^^)

이번에도 역시, 첨부한 소스코드는 "닷넷"에서 C/C++ DLL 함수를 불러서 처리하게 했고 이번에는 다음과 같이 Hook/Unhook 버튼을 두어 실행시에 테스트가 가능하도록 했습니다.

easyhook_1.png

첨부된 파일은 위의 코드를 포함한 예제 프로젝트입니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]





[최초 등록일: ]
[최종 수정일: 2/20/2012 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 



2012-03-26 11시29분
라이선스에 대해 다음과 같은 덧글이 달렸군요. ^^

From: spazzarama

If there is no UI within the project at all then perhaps some credit within the readme / documentation of your application.
The LGPL states that you should "give prominent notice" that the library (EasyHook) is used within your application. Where you choose to put this is up to you I guess.

정성태
2016-05-12 01시30분
정성태
2020-06-01 10시31분
파이썬으로 만들어졌고 javascript로 onEnter/onLeave 핸들러를 작성할 수 있는 도구입니다.

FridaTrace++ ? quick & dirty API monitor
; http://www.hexacorn.com/blog/2020/05/31/fridatrace-quick-dirty-api-monitor/
정성태
2020-08-11 05시26분
[Lyn] https://github.com/microsoft/Detours

MS가 64bit까지 다 풀어버렷네요... 세월이 많이 지났구나
[손님]
2020-08-11 08시41분
@Lyn님 연관 글에서 "개발 환경 구성: 419. MIT 라이선스로 무료 공개된 Detours API 후킹 라이브러리"로 github 공개를 소개했습니다. ^^
정성태
2020-08-12 12시49분
[Lyn] @정성태 연관글을 못보고 지나쳤네요 ㅎㅎ
[손님]

[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12332정성태9/18/202018.NET Framework: 940. C# - Windows Forms ListView와 DataGridView의 예제 코드파일 다운로드1
12331정성태9/18/202029오류 유형: 651. repadmin /syncall - 0x80090322 The target principal name is incorrect.
12330정성태9/18/202032.NET Framework: 939. C# - 전위/후위 증감 연산자에 대한 오버로딩 구현파일 다운로드1
12329정성태9/16/202052오류 유형: 650. ASUS 메인보드 관련 소프트웨어 설치 후 ArmouryCrate.UserSessionHelper.exe 프로세스 무한 종료 현상
12328정성태9/16/202041VS.NET IDE: 150. TFS의 이력에서 "Get This Version"과 같은 기능을 Git으로 처리한다면?
12327정성태9/12/2020102.NET Framework: 938. C# - ICS(Internet Connection Sharing) 제어파일 다운로드1
12326정성태9/12/202092개발 환경 구성: 516. Azure VM의 Network Adapter를 실수로 비활성화한 경우
12325정성태9/12/202087개발 환경 구성: 515. OpenVPN - 재부팅 후 ICS(Internet Connection Sharing) 기능이 동작 안하는 문제
12324정성태9/11/2020134개발 환경 구성: 514. smigdeploy.exe를 이용한 Windows Server 2016에서 2019로 마이그레이션 방법
12323정성태9/11/2020116오류 유형: 649. Copy Database Wizard - The job failed. Check the event log on the destination server for details.
12322정성태9/11/2020136개발 환경 구성: 513. Azure VM의 RDP 접속 위치 제한
12321정성태9/11/2020116오류 유형: 648. netsh http add urlacl - Error: 183 Cannot create a file when that file already exists.
12320정성태9/11/2020165개발 환경 구성: 512. RDP(원격 데스크톱) 접속 시 비밀 번호를 한 번 더 입력해야 하는 경우
12319정성태9/10/2020128오류 유형: 647. smigdeploy.exe를 Windows Server 2016에서 실행할 때 .NET Framework 미설치 오류 발생
12318정성태9/9/2020126오류 유형: 646. OpenVPN - "TAP-Windows Adapter V9" 어댑터의 "Network cable unplugged" 현상
12317정성태9/10/2020129개발 환경 구성: 511. Beats 용 Kibana 기본 대시 보드 구성 방법
12316정성태9/8/2020283디버깅 기술: 170. WinDbg Preview 버전부터 닷넷 코어 3.0 이후의 메모리 덤프에 대해 sos.dll 자동 로드
12315정성태9/7/2020228개발 환경 구성: 510. Logstash - FileBeat을 이용한 IIS 로그 처리 [2]
12314정성태9/7/2020155오류 유형: 645. IIS HTTPERR - Timer_MinBytesPerSecond, Timer_ConnectionIdle 로그
12313정성태9/7/2020301개발 환경 구성: 509. Logstash - 사용자 정의 grok 패턴 추가를 이용한 IIS 로그 처리
12312정성태9/5/2020238개발 환경 구성: 508. Logstash 기본 사용법
12311정성태9/4/2020353.NET Framework: 937. C# - 간단하게 만들어 보는 리눅스의 nc(netcat) 프로그램
12310정성태9/3/2020156오류 유형: 644. Windows could not start the Elasticsearch 7.9.0 (elasticsearch-service-x64) service on Local Computer.
12309정성태9/3/2020204개발 환경 구성: 507. Elasticsearch 6.6부터 기본 추가된 한글 형태소 분석기 노리(nori) 사용법
12308정성태9/2/2020265개발 환경 구성: 506. Windows - 단일 머신에서 단일 바이너리로 여러 개의 ElasticSearch 노드를 실행하는 방법
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...