Delphi中inline Hook socket API常见问题的解决

鄙人近期正在写一个Sniffer,用的是inline Hook socket API的方法,原理想起来很简单,但真正开始操作后才发现有很多细节上的问题,在Google上搜了一下,发现很多人都有相同或相似的问题,经过我的不断摸索,终于将它们一一解决,却又不敢独享.

一.被注入代码的进程莫名其妙出错

这是由于多个线程对Socket API同时调用而造成的(inline hook api是用拆东墙补西墙的办法,这样一来自然会出问题).

这个问题用Win32的临界区(CriticalSection)内核对象可以解决(关于CriticalSection,具体参照<Windows核心编程>).

这里只给出MySend函数的代码模板:

function NewSend(s: TSocket; var Buf; len, flags: Integer): Integer; stdcall;

begin

EnterCriticalSection(pCS_Send);//进入临界区

//这里添加自己的代码

UnHookAPI(0);//自己写的API Hook单元中的函数

Result:=Send(s,buf,len,flags);

HOOKAPI(0,'wsock32.dll','send',@NewSend);//自己写的API Hook单元中的函数

LeaveCriticalSection(pCS_Send);//退出临界区

end;

二.无法读取Buf的内容.

问题产生的原因我也没有搞清楚,,不过我发现用Delphi内镶汇编可以解决这个问题.代码如下:

function NewSend(s: TSocket; var Buf; len, flags: Integer): Integer; stdcall;

var

OutBuf:^String[100];

begin

EnterCriticalSection(pCS_Send);//进入临界区

asm

mov EDX,[Buf] //将Buf的地址读到EDX中

mov OutBuf,EDX //将EDX的值送入OutBuf中,这样一来,OutBuf^装的就是Buf的内容了.

end;

UnHookAPI(0);//自己写的API Hook单元中的函数

Result:=Send(s,buf,len,flags);

HOOKAPI(0,'wsock32.dll','send',@NewSend);//自己写的API Hook单元中的函数

LeaveCriticalSection(pCS_Send);//退出临界区

end;