为什么挂钩库仅偶尔适用于 Windows 10 中的 API 调用？

Question

我使用了多个 Hooking 库，例如Microsoft Detours Express、Mhook 等钩住 NtWriteVirtualMemory API 调用。我编写了以下代码来挂钩 API：

    #include <string>
    #include <fstream>
    #include <process.h>
    #include <Windows.h>
    #include <detours.h>

    #pragma comment(lib, "detours.lib")

    using namespace std;

    #define MAX_SIZE 10000
    char tempPath[MAX_SIZE];

    typedef LONG(NTAPI * oNtWriteVirtualMemory)(
            IN HANDLE               ProcessHandle,
            IN PVOID                BaseAddress,
            IN PVOID                Buffer,
            IN ULONG                NumberOfBytesToWrite,
            OUT PULONG              NumberOfBytesWritten OPTIONAL);

    oNtWriteVirtualMemory pNtWriteVirtualMemory = (oNtWriteVirtualMemory)GetProcAddress(GetModuleHandle(L"Ntdll.dll"), "NtWriteVirtualMemory");

    BOOL WINAPI MyNtWriteVirtualMemory(
            IN HANDLE               ProcessHandle,
            IN PVOID                BaseAddress,
            IN PVOID                Buffer,
            IN ULONG                NumberOfBytesToWrite,
            OUT PULONG              NumberOfBytesWritten OPTIONAL
        )
        {
           DWORD pidSource = GetCurrentProcessId();
           DWORD pidDestination = GetProcessId(ProcessHandle);
             if (pidSource != pidDestination)
             {
                 FILE * f1 = fopen(tempPath, "a+");
                    fprintf(f1, "inter-process write from %d to %d!\n", pidSource, pidDestination);
                    fclose(f1);
             }

          return pNtWriteVirtualMemory(ProcessHandle, BaseAddress, Buffer,umberOfBytesToWrite, NumberOfBytesWritten OPTIONAL);
        }

  BOOL APIENTRY DllMain(HMODULE hModule,
        DWORD  ul_reason_for_call,
        LPVOID lpReserved
        )
    {
        strcpy(tempPath, "C:\\Windows\\Temp\\log.txt");
        switch (ul_reason_for_call)
        {
        case DLL_PROCESS_ATTACH:

            try
            {
                DisableThreadLibraryCalls(hModule);

                DetourTransactionBegin();
                DetourUpdateThread(GetCurrentThread());
                DetourAttach(&(PVOID&)pNtWriteVirtualMemory, MyNtWriteVirtualMemory);
                DetourTransactionCommit();
            }
            catch (int e)
            { }
            break;
        case DLL_THREAD_ATTACH:
            try
            {
                DisableThreadLibraryCalls(hModule);

                DetourTransactionBegin();
                DetourUpdateThread(GetCurrentThread());
                DetourAttach(&(PVOID&)pNtWriteVirtualMemory, MyNtWriteVirtualMemory);
                DetourTransactionCommit();
            }
            catch (int e)
            {
            }
            break;
        case DLL_PROCESS_DETACH:

            try
            {
                DetourTransactionBegin();
                DetourUpdateThread(GetCurrentThread());
                DetourDetach(&(PVOID&)pNtWriteVirtualMemory, MyNtWriteVirtualMemory);
                DetourTransactionCommit();
            }
            catch (int e)
            {
            }
            break;
        case DLL_THREAD_DETACH:
            try
            {
                DetourTransactionBegin();
                DetourUpdateThread(GetCurrentThread());
                DetourDetach(&(PVOID&)pNtWriteVirtualMemory, MyNtWriteVirtualMemory);
                DetourTransactionCommit();
            }
            catch (int e)
            {
            }
            break;
        }
        return TRUE;
    }

但是，它仅适用于某些特定情况。例如，当 API Monitor 程序将其监控 DLL 写入目标进程以监控进程的行为时，我的钩子代码运行良好，并像往常一样钩住 API Monitor 程序的 NtWriteVritualMemory 调用。此外，代码很好地挂钩了 Visual Studio 中的 API。当 Visual Studio 开始构建项目时，它会调用 NtWriteVirtualMemory 进行一些进程间写入，我可以在我的临时日志文件中看到这些调用的日志！

但是，当我编写自己的代码或构建另一个代码（例如Reflective DLL Injection）来调用 NtWriteVirtualMemory API 时，钩子根本没有检测到它。我使用 Visual Studio 2015 构建这些代码来调用 API 或挂钩它。此外，我使用AppInit_DLLs Infrastructure 使我的挂钩 DLL 成为全局用户级挂钩。

任何线索将不胜感激。

Answer 1

简单：您的 DLL 仅加载到加载 user32.dll 的进程中。有些过程会。其他的不要。你说的那个没有：

并不是说钩子不起作用。你的 DLL 甚至没有加载。

此外，在线程附加中挂钩可能不是您想要的，在线程分离中取消挂钩几乎肯定不是您想要的。