java hook api 实现封包截取_hook 封包 截取WSASend实例

【实例简介】截取IE11浏览器WSASend实例

【实例截图】

【核心代码】

.版本 2

.程序集 hook, , 公开

.程序集变量 函数地址, 整数型

.程序集变量 dtgesxt, 整数型

.程序集变量 原字节, 字节集

.程序集变量 sr5h6bdfd, 字节集

.程序集变量 原指针地址, 整数型

.子程序 取地址, 整数型, 公开, 取原始数据地址,回调原指针时使用

返回 (原指针地址)

.子程序 安装, 逻辑型, 公开, 安装APIHOOK

.参数 动态链接库路径, 文本型, , 欲截获的函数名所在动态链接库的路径

.参数 函数名, 文本型, , 欲截获的函数名

.参数 新函数地址, 整数型, , 回调子程序指针地址.可以用 到整数(子程序指针) 获得

.局部变量 模块句柄, 整数型

.如果真 (函数地址 ≠ 0)

返回 (真)

.如果真结束

模块句柄 ＝ GetModuleHandleA (动态链接库路径)

.如果真 (模块句柄 ＝ 0)

模块句柄 ＝ LoadLibraryA (动态链接库路径)

.如果真结束

.如果真 (模块句柄 ＝ 0)

返回 (假)

.如果真结束

函数地址 ＝ GetProcAddress (模块句柄, 函数名) ' 获取API函数地址

.如果真 (函数地址 ＝ 0)

返回 (假)

.如果真结束

.如果真 (VirtualProtect (函数地址, 5, 64, dtgesxt) ＝ 假)

返回 (假)

.如果真结束

原字节 ＝ 指针到字节集 (函数地址, 5) ' 保存API入口前5个字节

sr5h6bdfd ＝ { 233 } ＋ 到字节集 (到整数 (新函数地址 － (函数地址 ＋ 5)))

写到内存 (sr5h6bdfd, 函数地址, 5) ' 修改API入口前5字节

原字节 ＝ 原字节 ＋ { 233, 0, 0, 0, 0 }

原指针地址 ＝ _取指针_字节集 (原字节, 原字节, 0)

写到内存 (到整数 (函数地址 ＋ 5 － (原指针地址 ＋ 10)), 原指针地址 ＋ 6, 4)

FreeLibrary (模块句柄)

返回 (真)