...封装32位和64位Python hook框架实战打印微信日志
发布网友
发布时间：2024-09-17 05:24
共1个回答
热心网友
时间：2024-09-28 02:58
目前的系列目录（后面会根据实际情况变动）:
上上篇文章说的以后只更新32位版本这句话收回，以后会同时更新32位和64位的最新版本，已经可以在Python中使用Detours来hook 64位版本。
为了加快进度，第六篇和第七篇同一天发布，这篇文章为使用总结，想知道hook原理的可以看同时间发布的其他几篇文章。
温馨提示：本次发布的这几篇文章都是偏技术，想获取成品直接使用的可以等下一篇文章（实战32位和64位接收消息和消息防撤回）
另外，这篇文章开始建群，请关注github或者公众号菜单栏
封装好的Hook库32位程序的Hook
hook的参数有两个：内存地址和回调函数。回调函数的参数是一个包含x86所有寄存器的结构体指针，没有返回值。结构体的定义如下:
一个简单的Hook 示例：
context这个结构体获取的就是当执行到这个地址时的寄存器的值，这个和你用x32dbg看到的寄存器的值是一样的。值的类型都定义成DWORD，如果寄存器是类型是其他类型，比如字符串或结构体，你需要在Python里做相应的转换，可以参考下面Hook日志的代码
你同样可以在回调函数里修改这个指针中寄存器的值，它会反映到实际的寄存器，案例的话会在消息防撤回那一篇文章演示。
64位的Hook
因为64位hook是封装的Detour，比32位需要多定义一个函数指针，而且只能hook函数。所以hook之前需要知道被Hook的函数参数有几个，类型如果不知道的话，可以像上面一样都定义成c_uint64。
回调函数的参数跟被Hook函数的参数必须一样，如果参数很多，你也可以用*arg来表示，示例代码如下：
另外，回调函数的返回值类型也需要和被Hook函数一样，一般都是先调用原函数获取返回值然后返回。如果返回错误类型的返回值，进程会崩溃。
案例
为什么要选择Hook日志做案例？日志是多线程打印的，如果Hook日志没有问题的话，其他任何位置的Hook基本都不会有问题。
效果
hook后的效果如下：
32位代码
先定义回调函数，因为我需要同时获取参数和返回值，所以要hook两个地方（函数头和函数尾）。
用x32dbg在日志函数头位置下个断点，看起来有两个有用的信息：EDX的代码路径和esp的函数返回地址。
定义回调函数：
然后看返回值，返回值获取的是EAX的值
在new一个Hook类hook这两个位置：
因为需要支持热加载，所以在hook之前先调用一下unhook，这样你修改代码就会生效新的hook。
使用
你想hook日志的话，先将github的代码拉下来，然后安装依赖，再运行main.py注入Python之后，修改robot.py, 添加如下代码控制台就会打印日志了：
github的代码更新了3.9.8.15和3.9.8.12两个版本，如果有更新的版本，请提issue。
64位代码
x64dbg打上断点，可以看到RDX是代码路径，而RDX是函数的第二个参数。因为获取不到寄存器，所以返回地址就拿不到了。
返回值如下， 也是char数组：
定义回调函数，日志函数有12个参数，我就用args来代替了：
开始hook
代码更新
以后微信相关的代码统一到下面的仓库更新：
32位和64位hook的代码封装成库并发布到pypi，可以通过pip install py_process_hooker安装或者pip install --upgrade py_process_hooker更新，具体操作请看仓库说明。
其实微信相关的代码也可以发布到pypi，后面代码稳定下来再看要不要发布。因为目前需要频繁更新，比较麻烦。
