Microsoft MVP성태의 닷넷 이야기
VC++: 58. API Hooking - 64비트를 고려해야 한다면? EasyHook! [링크 복사], [링크+제목 복사]
조회: 31755
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일

(시리즈 글이 16개 있습니다.)
VC++: 36. Detours 라이브러리를 이용한 Win32 API - Sleep 호출 가로채기
; https://www.sysnet.pe.kr/2/0/631

.NET Framework: 187. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선
; https://www.sysnet.pe.kr/2/0/942

디버깅 기술: 40. 상황별 GetFunctionPointer 반환값 정리 - x86
; https://www.sysnet.pe.kr/2/0/1027

VC++: 56. Win32 API 후킹 - Trampoline API Hooking
; https://www.sysnet.pe.kr/2/0/1231

VC++: 57. 웹 브라우저에서 Flash만 빼고 다른 ActiveX를 차단할 수 있을까?
; https://www.sysnet.pe.kr/2/0/1232

VC++: 58. API Hooking - 64비트를 고려해야 한다면? EasyHook!
; https://www.sysnet.pe.kr/2/0/1242

개발 환경 구성: 419. MIT 라이선스로 무료 공개된 Detours API 후킹 라이브러리
; https://www.sysnet.pe.kr/2/0/11764

.NET Framework: 883. C#으로 구현하는 Win32 API 후킹(예: Sleep 호출 가로채기)
; https://www.sysnet.pe.kr/2/0/12132

.NET Framework: 890. 상황별 GetFunctionPointer 반환값 정리 - x64
; https://www.sysnet.pe.kr/2/0/12143

.NET Framework: 891. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 두 번째 이야기
; https://www.sysnet.pe.kr/2/0/12144

디버깅 기술: 163. x64 환경에서 구현하는 다양한 Trampoline 기법
; https://www.sysnet.pe.kr/2/0/12148

.NET Framework: 895. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법
; https://www.sysnet.pe.kr/2/0/12150

.NET Framework: 896. C# - Win32 API를 Trampoline 기법을 이용해 C# 메서드로 가로채는 방법 - 두 번째 이야기 (원본 함수 호출)
; https://www.sysnet.pe.kr/2/0/12151

.NET Framework: 897. 실행 시에 메서드 가로채기 - CLR Injection: Runtime Method Replacer 개선 - 세 번째 이야기(Trampoline 후킹)
; https://www.sysnet.pe.kr/2/0/12152

.NET Framework: 898. Trampoline을 이용한 후킹의 한계
; https://www.sysnet.pe.kr/2/0/12153

.NET Framework: 968. C# 9.0의 Function pointer를 이용한 함수 주소 구하는 방법
; https://www.sysnet.pe.kr/2/0/12409




API Hooking - 64비트를 고려해야 한다면? EasyHook!

지난번에 "Trampoline API Hooking" 방식을 알아봤는데요.

Win32 API 후킹 - Trampoline API Hooking
; https://www.sysnet.pe.kr/2/0/1231

이 방법의 단점은, 아쉽게도 x64 지원이 안된다는 것입니다. 물론, 이래 저래 뜯어고치면 되겠지만 '안정성'을 확보할 수 있는 실력이 안된다면 ^^ 차선책을 고려해볼 수 있습니다. 그렇게 선택될 수 있는 첫 번째가 그 누구도 아닌 '마이크로소프트' 스스로 개발한 후킹 라이브러리가 있으니, 바로 "Detours"가 그것입니다.

Detours 라이브러리를 이용한 Win32 API - Sleep 호출 가로채기
; https://www.sysnet.pe.kr/2/0/631

(MIT 라이선스로 무료 공개된 Detours API 후킹 라이브러리) 음... 그런데, 역시 단점이 없지 않습니다. 32비트/64비트 모두 지원하긴 하지만, 무료 버전은 32비트만 지원하고 64비트까지 지원하려면 반드시 유료 버전을 구매해야 합니다.

저 같은 평범한 개발자가 $9,999를 지불하기에는 좀 그러하니, 다음으로 생각해 볼 것이 무료 중에 제법 안정적인 라이브러리가 없나 찾아보게 됩니다.
다행히, 이번 달(2012-02) 마이크로소프트웨어 잡지에서 소개된 "EasyHook"이 괜찮은 후보가 될 것 같습니다.

EasyHook - The reinvention of Windows API Hooking
; http://easyhook.codeplex.com/
; https://github.com/EasyHook/EasyHook/

LGPL 라이선스이기 때문에 상용에도 쓸 수 있고 DLL로 링크해서 사용하면 아무런 문제가 없습니다. 그러다 만약 버그가 있다면 소스 코드를 다운로드해 버그를 수정한 후 원 저작자에게 알리면 버그 패치된 버전이 나올 것이고, 다시 그 DLL을 링크해서 사용하면 됩니다.

'마이크로소프트웨어'에 기사를 쓴 '권용휘' 님은 "Powered by EasyHook" 로고를 반드시 포함해야 한다고 했는데... 약간 오해가 있지 않나 싶습니다. 원 저작자는 이에 대해 다음과 같이 설명하고 있는데요.

I don't remember if this is covered by the LGPL but I would appreciate some kind of "Powered By" Banner/Icon/Notice. You will find an example at the bottom of this page.


그래줬으면 감사하다는 것이지, 강제 사항은 아닙니다. 사실, 이걸 강제 사항으로 넣으면 또 이상할 수도 있는데요. 가령 예를 들어서, UI가 없는 Library 개발자라면 쓰지 말라는 것이나 다름없으니까요. 게다가 이렇게 라이브러리를 공개한 경우 '감시' 수단이 현실적으로 적절하지 않습니다. 아래의 Q&A에서 원 저작자는,

Licensing question 
; http://easyhook.codeplex.com/discussions/236073

you just directly link with the c files it seems fine to me. But it is still a breach with the LGPL but I wouldn't mind in this particular case, as long as the product you are creating is not something like EasyHook.


소스 코드를 가져다 쓰는 것 조차도, EasyHook과 같은 라이브러리를 만들려는 것이 아니라면 자신은 괜찮다는 입장을 취하고 있습니다. (물론, 공식 문서화된 답변은 아니므로 이런 내용에 기대어 오버 해석하는 것은 좋지 않습니다. ^^)

어쨌든, "Powered by" 로고에 대해서는 제가 질문을 올려놨는데 어떤 답이 오는지 한번 지켜보는 것도 재미있을 것 같습니다. ^^

About "Powered By" logo. 
; http://easyhook.codeplex.com/discussions/330548




그건 그렇고, 이제 라이브러리를 사용해 봐야겠지요. ^^

오늘 날짜 기준으로 안정화된 버전이라고 알려진 2.6을 다운로드/압축을 풀어놓고 자신의 C/C++ 프로젝트에서 EasyHook32.dll(또는 EasyHook64.dll)을 링크한 후, 기본 소스를 다음과 같이 작성할 수 있습니다.

#include "stdafx.h"
#include "Win32Wrapper.h"

#include "..\Libraries\easyhook.h"

#if defined(_AMD64_)
#pragma comment(lib, "..\\Libraries\\EasyHook64.lib")
#else
#pragma comment(lib, "..\\Libraries\\EasyHook32.lib")
#endif

WIN32WRAPPER_API void fnWin32Wrapper_Hook(void)
{
    ...    
}

WIN32WRAPPER_API void fnWin32Wrapper_Unhook(void)
{
    ...
}

그럼, 지난번에 했던 CoGetClassObject 후킹을 EasyHook 버전으로 한번 바꿔볼까요? ^^ 다행히 "마이크로소프트웨어" 잡지에 실린 기사에 자세한 설명이 되어 있어서 쉽게 다음과 같이 포팅을 할 수 있었습니다.

DWORD ACLEntries_CoGetClassObject[1] = { (DWORD)-1 }; 
HOOK_TRACE_INFO g_h_CoGetClassObject= {NULL}; 

HRESULT WINAPI New_CoGetClassObject(REFCLSID rclsid, DWORD dwClsContext, COSERVERINFO *pServerInfo, REFIID riid, LPVOID *ppv)
{
    if (CanBeActivated(rclsid) == FALSE)
    {
       return REGDB_E_CLASSNOTREG;
    }

    return CoGetClassObject(rclsid, dwClsContext, pServerInfo, riid, ppv);
}

WIN32WRAPPER_API void fnWin32Wrapper_Hook(void)
{
    HMODULE hModule = ::LoadLibrary(L"Ole32.dll");

    FARPROC farProc = ::GetProcAddress(hModule, "CoGetClassObject");
    if (farProc == NULL)
    {
        return;
    }

    LhInstallHook(farProc, New_CoGetClassObject,
        NULL, &g_h_CoGetClassObject);
    LhSetExclusiveACL(ACLEntries_CoGetClassObject, 1, &g_h_CoGetClassObject);
}

WIN32WRAPPER_API void fnWin32Wrapper_Unhook(void)
{
    LhUninstallAllHooks();
}

이전과 다른 점이 있다면, 소스 코드가 훨씬 더 간결해졌다는 점을 들 수 있겠고, 무엇보다도 x64/x86 모두 동작한다는 장점이 있습니다. (이렇게 잘 만들어진 라이브러리를 가져다 쓰는 것은 너무너무 행복한 일입니다. ^^)

이번에도 역시, 첨부한 소스 코드는 "닷넷"에서 C/C++ DLL 함수를 불러서 처리하게 했고 다음과 같이 Hook/Unhook 버튼을 두어 실행 시에 테스트가 가능하도록 했습니다.

easyhook_1.png

첨부된 파일은 위의 코드를 포함한 예제 프로젝트입니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]







[최초 등록일: ]
[최종 수정일: 1/27/2023]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 



2012-03-26 11시29분
라이선스에 대해 다음과 같은 덧글이 달렸군요. ^^

From: spazzarama

If there is no UI within the project at all then perhaps some credit within the readme / documentation of your application.
The LGPL states that you should "give prominent notice" that the library (EasyHook) is used within your application. Where you choose to put this is up to you I guess.
정성태
2016-05-12 01시30분
정성태
2020-06-01 10시31분
파이썬으로 만들어졌고 javascript로 onEnter/onLeave 핸들러를 작성할 수 있는 도구입니다.

FridaTrace++ - quick & dirty API monitor
; http://www.hexacorn.com/blog/2020/05/31/fridatrace-quick-dirty-api-monitor/
정성태
2020-08-11 05시26분
[Lyn] https://github.com/microsoft/Detours

MS가 64bit까지 다 풀어버렷네요... 세월이 많이 지났구나
[guest]
2020-08-11 08시41분
@Lyn 님 연관 글에서 "개발 환경 구성: 419. MIT 라이선스로 무료 공개된 Detours API 후킹 라이브러리"로 github 공개를 소개했습니다. ^^
정성태
2020-08-12 12시49분
[Lyn] @정성태 연관글을 못보고 지나쳤네요 ㅎㅎ
[guest]
2023-01-27 08시34분
Squalr/Squalr - Squalr Memory Editor - Game Hacking Tool Written in C#
; https://github.com/Squalr/Squalr
정성태

[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
13596정성태4/14/2024397닷넷: 2238. C# - WAV 기본 파일 포맷파일 다운로드1
13595정성태4/13/2024418닷넷: 2237. C# - Audio 장치 열기 (Windows Multimedia, NAudio)파일 다운로드1
13594정성태4/12/2024476닷넷: 2236. C# - Audio 장치 열람 (Windows Multimedia, NAudio)파일 다운로드1
13593정성태4/8/2024807닷넷: 2235. MSBuild - AccelerateBuildsInVisualStudio 옵션
13592정성태4/2/20241158C/C++: 165. CLion으로 만든 Rust Win32 DLL을 C#과 연동
13591정성태4/2/20241140닷넷: 2234. C# - WPF 응용 프로그램에 Blazor App 통합파일 다운로드1
13590정성태3/31/20241060Linux: 70. Python - uwsgi 응용 프로그램이 k8s 환경에서 OOM 발생하는 문제
13589정성태3/29/20241121닷넷: 2233. C# - 프로세스 CPU 사용량을 나타내는 성능 카운터와 Win32 API파일 다운로드1
13588정성태3/28/20241173닷넷: 2232. C# - Unity + 닷넷 App(WinForms/WPF) 간의 Named Pipe 통신파일 다운로드1
13587정성태3/27/20241115오류 유형: 900. Windows Update 오류 - 8024402C, 80070643
13586정성태3/27/20241235Windows: 263. Windows - 복구 파티션(Recovery Partition) 용량을 늘리는 방법
13585정성태3/26/20241083Windows: 262. PerformanceCounter의 InstanceName에 pid를 추가한 "Process V2"
13584정성태3/26/20241036개발 환경 구성: 708. Unity3D - C# Windows Forms / WPF Application에 통합하는 방법파일 다운로드1
13583정성태3/25/20241139Windows: 261. CPU Utilization이 100% 넘는 경우를 성능 카운터로 확인하는 방법
13582정성태3/19/20241203Windows: 260. CPU 사용률을 나타내는 2가지 수치 - 사용량(Usage)과 활용률(Utilization)파일 다운로드1
13581정성태3/18/20241341개발 환경 구성: 707. 빌드한 Unity3D 프로그램을 C++ Windows Application에 통합하는 방법
13580정성태3/15/2024991닷넷: 2231. C# - ReceiveTimeout, SendTimeout이 적용되지 않는 Socket await 비동기 호출파일 다운로드1
13579정성태3/13/20241473오류 유형: 899. HTTP Error 500.32 - ANCM Failed to Load dll
13578정성태3/11/20241611닷넷: 2230. C# - 덮어쓰기 가능한 환형 큐 (Circular queue)파일 다운로드1
13577정성태3/9/20241834닷넷: 2229. C# - 닷넷을 위한 난독화 도구 소개 (예: ConfuserEx)
13576정성태3/8/20241535닷넷: 2228. .NET Profiler - IMetaDataEmit2::DefineMethodSpec 사용법
13575정성태3/7/20241647닷넷: 2227. 최신 C# 문법을 .NET Framework 프로젝트에 쓸 수 있을까요?
13574정성태3/6/20241549닷넷: 2226. C# - "Docker Desktop for Windows" Container 환경에서의 IPv6 DualMode 소켓
13573정성태3/5/20241555닷넷: 2225. Windbg - dumasync로 분석하는 async/await 호출
13572정성태3/4/20241626닷넷: 2224. C# - WPF의 Dispatcher Queue로 알아보는 await 호출의 hang 현상파일 다운로드1
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...