编译 EasyHook 32-bit/64-bit 静态库 Lib

EasyHook 是 Windows 平台下开源的 APIHOOK 工具库,因其开源有 64 位版本而注广为流传,微软也有提供 64 位 APIHOOK 的代码,但是要收费的。最近公司让我做一个 HOOK 的名单功能,顺便就研究了一下 EasyHook 的静态库编译和使用,也弥补一下曾经再这方面耗费的心血。下图是 HOOK 成功后 DebugView 的输出。

20160723154255

配置 EasyHook 静态库编译环境

首先去官方下载 EasyHook 源代码到本地,使用 VS2015 打开项目(目前官方是 VS2013 编译的,最低不能低于 VS2010 SP1,因为官方最新代码中引入了 C99 标准,VS2008 以下版本缺少很多头文件无法编译通过)。

2016-07-23_180353

2016-07-23_180553

打开项目后,删除掉一些无用的C#项目代码和一些文档,只保留一个 EasyHookDll 的项目,如下图:

2016-07-23_180821

删除所有无用的文件夹,只保留下图几个文件夹(看你自己需要,这里不删除后面编译的时候会因为项目关联问题导致编译不过去,最好是删除掉)

2016-07-23_185115

打开 EasyHookDll 目录。复制 EasyHookDll.vcxproj 文件和 EasyHookDll.vcxproj.filters 文件,改名为 EasyHookLib.vcxprojEasyHookLib.vcxproj.filters,如下图:

2016-07-23_181117

把复制后的 EasyHookLib.vcxproj 添加到项目中:

2016-07-23_181438

2016-07-23_181453

添加到项目后,在 VS 视图中,打开“属性管理器”视图:

2016-07-23_181943

切换到属性管理器窗口,删除所有 netfx4 的配置:

2016-07-23_182122

然后删除所有 netfx3.5 的名称前缀:

2016-07-23_182230

最后效果如下:

2016-07-23_182317

接下来,修改配置属性,打开配置管理器:

2016-07-23_182507

点击活动解决方案管配置的下拉菜单->编辑选项,删除所有 netfx4 的配置,并将 netfx3.5 配置的前缀去掉,修改后的效果如下:

2016-07-23_182602

2016-07-23_182636

这样最终就只剩下 Debug 和 Release 版本的,没有那么多无用的配置选项了。随后再点开“活动解决方案的”的下拉菜单,删除 AnyCPU 的选项。如下图:

2016-07-23_182910

2016-07-23_182918

修改完配置后,点击 EasyHookLib 的项目右键->属性->常规,由原来的 Dll 修改为 Lib 库,如下图(注意红框的位置,将所有配置所有平台下都修改了):

2016-07-23_181547

然后切换到 C/C++->预处理器 选项中,将每一个配置下的“预处理器定义”中的 EASYHOOK_EXPORTS 删除,由于每种配置下这个属性不同,所以不能像之前一样,选所有配置一下都修改了,只能一个一个的修改。其实现在只有 Debug 和 Release 两个配置了,改起来也不麻烦。

2016-07-23_231513

切换到 生成事件->后期生成事件 选项卡中,删除所有配置下的所有平台中的命令行属性(这个选项是在项目生成后执行的批处理命令,主要是拷贝一些文件到指定目录,我们用不到,所以删除):

2016-07-23_185254

切换到 库管理器->命令行 选项卡中,在 Win32 平台下添加选项 /MACHINE:X86,在 x64 平台下添加选项 /MACHINE:X64,这个属性决定了 Lib 库是多少位的。如下图:

2016-07-23_185614

2016-07-23_185646

至此所有配置和属性都修改完了,接下来我们要动一下源代码,不然编译后的 Lib 库也是用不了的。打开 Source Files 下的 dllmain.c,将原来的 dllmain 函数:

BOOL APIENTRY DllMain( HMODULE hModule,
        DWORD  ul_reason_for_call,
        LPVOID lpReserved
)

修改为

EXTERN_C BOOL APIENTRY EasyHookDllMain(HMODULE hModule,
    DWORD  ul_reason_for_call,
    LPVOID lpReserved
)

2016-07-23_184129

然后打开头文件 easyhook.h。删除如下内容:

#ifdef EASYHOOK_EXPORTS
    #define EASYHOOK_API                        __declspec(dllexport) __stdcall
    #define DRIVER_SHARED_API(type, decl)       EXTERN_C type EASYHOOK_API decl
#else
    #ifndef DRIVER
        #define EASYHOOK_API                    __declspec(dllimport) __stdcall
        #define DRIVER_SHARED_API(type, decl)   EXTERN_C type EASYHOOK_API decl
    #else
        #define EASYHOOK_API                    __stdcall
        #define DRIVER_SHARED_API(type, decl)   typedef type EASYHOOK_API PROC_##decl; EXTERN_C type EASYHOOK_API decl
    #endif
#endif

替换为

#define EASYHOOK_API __stdcall
#define DRIVER_SHARED_API(type, decl) typedef type EASYHOOK_API PROC_##decl; EXTERN_C type EASYHOOK_API decl

2016-07-23_184322

此时,编译一下项目,即可编译通过了。

2016-07-23_190025

2016-07-23_190052

Lib 库的编译先到这里,至于 Lib 库的使用,我写了一个 Example,请大家访问 github 下载源代码自行编译调试:https://github.com/nmgwddj/EasyHook。该项目包含了 32 位和 64 位的 Lib 库,和一个测试项目,HOOK 了 NtCreateFile 函数实现了对文件打开创建等功能的监控。代码中有较为详细的注释,若有不明白的地方,欢迎随时给我留言。

说说你的想法