通过HOOK wow64cpu.dll达到HOOK call fs:[C0]的目的

风吹吹蛋蛋疼风w

首先，本人以前是玩易语言入坑编程的（轻喷）。
偶然间学了点C，直到最近彻底放弃坑语言了。
因为嵌入汇编不方便的原因······················
现在玩VS2015了，废话不多说，进入正题。
********观察一下NT函数，或者User32里面的函数。
会发现老是有函数里面这么写汇编call fs:[000000C0]这是什么鬼？
好吧，用CE调试，单步进去之后，我发现了64位的汇编代码WTF，有趣，接受蹂躏！

在SendInPut+E处下一个硬件断点，然后自己构造汇编代码启动线程。
跟进去通过百度得知mouse_event最后实际调用的就是SendInPut。
我们直接构造一个参数全部是DWORD类型的CALL调用即可。

再打开一个CE从5ff0000处启动线程（CE的bug,先这样做吧，哎）
别忘了下硬件断点，呵呵（我自己都忘了，又重新跑一次）



可以看到已经断下来了，不着急，继续跟踪

发现一堆我无法解释的，为什么出现在32位进程中的64位汇编代码

通过多次试验，我发现代码从这里就走回到了32位代码里

那好，知道他的流程就开始做HOOK了一般来说我们都是从头部做HOOK。
假如说某个call fs:[000000C0]最终的返回值才是我们要HOOK到的，
或者说某个Direct接口Dinput接口才是我们需要HOOK的，
在尾部HOOK才是我们需要的（本人已成功，你们自己测试吧）。
现在开始解决的的问题就是:
            如何在64位的汇编代码中做HOOK让它走到32位的汇编代码中。
首先我们通过观察wo64cpu.dll._CpuSimulate+168处的汇编代码得知，
原本模块内的跳转方式是mov [r14],r9d;jmp far [r14];
   关键部分来了：
        这个jmp far我查了一下是远跳的意思大可以理解为
从64位的模块跳到32位里面吧（呵呵哒），
我们的HOOK也就在这个地址开始。由于我没用过钩子支持库，
直接计算jmp容易出错所以我选择另一种HOOK方式，
6字节push xxxx;ret;
这个方法比jmp xxxxx多用了一个字节，
但是好处在于不用计算jmp xxxx的差值了，不容易出错（顶个！）。


这里直接打开我的成品测试可以看到HOOK方式，我们跟进去看看。

首先判断[esp]的值，是不是我们调用函数的下一步。
比如sendinput的这一步是在sendinput+E，CALL进去。
返回后的下一句就是sendinput+15。

至于代码中的inc ecx，实际上是CE的汇编代码转换引擎的问题。
完整的应该是mov r9d,005EB3F8这里把寄存器r9d的值，
改成我们的HOOK接口就能为所欲为了！

先还原堆栈，然后再push ret大法跳到我们的接口里面。

结果是成功的！
吃水不忘挖井人感谢写出wow64ext的作者，
帮助了我获取了64位模块的基址。
************************************************
注释:代码在WIN7 64位系统下的32位进程中测试通过好的。
***********************************************
结束了，楼下放C++源代码另外有E语言版本的代码。
来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！