Windows APIのフックによってAPIの使用したプロセスを明らかにする

Question

前提・実現したいこと

Windows APIをフックして，APIを使用したプロセスの情報（PID，プロセス名など）を出力しようとしています．
そのために，IATの書き換えで実現しようとしています．

現在，準備段階としてMessageBoxA関数やWinExec関数をフックすることができたらDebugViewに「Hooked●●（関数名）!」出力しようとしていますが，出力されません．また，debugViewにはnotepad_start1!,notepad_start2!まで表示されています．
[https://qiita.com/_pochi/items/4e20e38deee16a7615e1#fn2]のコードを参考にしています．
言語はc++です．

以下のコードを使用しなくてもAPIのフックを簡単に実現する方法があればご教授ください．

###コード
mainで自作dllをばらまきます．

#include "stdafx.h"

int main()
{
	Inject();
	printf("I am WaruiApp!\n");
	getchar();
    return 0;
}

dllmainは自作dllファイルです．

#include "stdafx.h"
#include "rewrite.h"


fp_CreateFileW createFileWPtr = NULL;//fp_API名で定義
fp_MessageBoxA MessageBoxAPtr = NULL;
fp_WinExec WinExecPtr = NULL;


HANDLE
WINAPI
HookedCreateFileW(
	_In_ LPCWSTR lpFileName,
	_In_ DWORD dwDesiredAccess,
	_In_ DWORD dwShareMode,
	_In_opt_ LPSECURITY_ATTRIBUTES lpSecurityAttributes,
	_In_ DWORD dwCreationDisposition,
	_In_ DWORD dwFlagsAndAttributes,
	_In_opt_ HANDLE hTemplateFile
)
{
	OutputDebugString(TEXT("HookedCreateFileW!\n"));
	if (lpFileName != NULL) {
		OutputDebugString(TEXT("HookedCreateFileW2!\n"));
		if (auto fileNameLength = lstrlen(lpFileName) > 5) {
			auto extPtr = lpFileName + lstrlen(lpFileName) - 5;
			if (lstrcmpW(extPtr, TEXT(".java")) == 0) {
				// よいこは真似しないこと
				OutputDebugString(TEXT("HookedCreateFileW3!\n"));
				lstrcpy((LPWSTR)extPtr, TEXT(".cs"));
			}
		}
	}
	return createFileWPtr(lpFileName, dwDesiredAccess, dwShareMode, lpSecurityAttributes, dwCreationDisposition, dwFlagsAndAttributes, hTemplateFile);
}

int
WINAPI
HookedMessageBoxA(
	HWND   hWnd,
	LPCSTR lpText,
	LPCSTR lpCaption,
	UINT   uType
)
{
	OutputDebugString(TEXT("HookedMessageBoxA!\n"));
	return MessageBoxAPtr(hWnd,lpText,lpCaption,uType);
}

UINT 
WINAPI
HookedWinExec(
	LPCSTR lpCmdLine,
	UINT   uCmdShow
)
{
	OutputDebugString(TEXT("HookedWinExec!\n"));
	return WinExec(lpCmdLine,uCmdShow);
}


void APIHook() {
	TCHAR fileNameBuf[MAX_PATH];
	if (GetModuleFileName(GetModuleHandle(NULL), fileNameBuf, MAX_PATH) > 0) {
		OutputDebugString(fileNameBuf);
		if (_tcsstr(fileNameBuf, TEXT("notepad.exe")) != NULL) {
			OutputDebugString(TEXT("nodepad_start1!\n"));
			MessageBoxAPtr = (fp_MessageBoxA)RewriteFunction("User32.dll", "MessageBoxA", HookedMessageBoxA);
			//createFileWPtr = (fp_CreateFileW)RewriteFunction("kernel32.dll", "CreateFileW", HookedCreateFileW);
			OutputDebugString(TEXT("nodepad_start2!\n"));
			WinExecPtr = (fp_WinExec)RewriteFunction("Kernel32.dll", "WinExec", HookedWinExec);
		}
	}
}

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  dwReason,
                       LPVOID lpReserved
					 )
{
	if (dwReason == DLL_PROCESS_ATTACH)
	{
		DisableThreadLibraryCalls(hModule);
		APIHook();
	}
	return TRUE;
}

rewriteではdllmain内で呼び出されるRewriteFunction関数を定義しています．

#include "stdafx.h"
#include <imagehlp.h>
#include "rewrite.h"
#pragma comment(lib,"imagehlp.lib")

void* RewriteFunctionImp(const char* szRewriteModuleName, const char* szRewriteFunctionName, void* pRewriteFunctionPointer)
{
	for (int i = 0; i < 2; i++) {
		// ベースアドレス
		intptr_t pBase = 0;
		if (i == 0) {
			if (szRewriteModuleName) {
				pBase = (intptr_t)::GetModuleHandleA(szRewriteModuleName);
			}
		}
		else if (i == 1) {
			pBase = (intptr_t)GetModuleHandle(NULL);
		}
		if (!pBase)continue;

		// イメージ列挙
		ULONG ulSize;
		PIMAGE_IMPORT_DESCRIPTOR pImgDesc = (PIMAGE_IMPORT_DESCRIPTOR)ImageDirectoryEntryToData((HMODULE)pBase, TRUE, IMAGE_DIRECTORY_ENTRY_IMPORT, &ulSize);
		for (; pImgDesc->Name; pImgDesc++) {
			const char* szModuleName = (char*)(intptr_t)(pBase + pImgDesc->Name);
			// THUNK情報
			PIMAGE_THUNK_DATA pFirstThunk = (PIMAGE_THUNK_DATA)(intptr_t)(pBase + pImgDesc->FirstThunk);
			PIMAGE_THUNK_DATA pOrgFirstThunk = (PIMAGE_THUNK_DATA)(intptr_t)(pBase + pImgDesc->OriginalFirstThunk);
			// 関数列挙
			for (; pFirstThunk->u1.Function; pFirstThunk++, pOrgFirstThunk++) {
				if (IMAGE_SNAP_BY_ORDINAL(pOrgFirstThunk->u1.Ordinal))continue;
				PIMAGE_IMPORT_BY_NAME pImportName = (PIMAGE_IMPORT_BY_NAME)(intptr_t)(pBase + (intptr_t)pOrgFirstThunk->u1.AddressOfData);
				if (!szRewriteFunctionName) {
					// 表示のみ
					printf("Module:%s Hint:%d, Name:%s\n", szModuleName, pImportName->Hint, pImportName->Name);
				}
				else {
					// 書き換え判定
					if (stricmp((const char*)pImportName->Name, szRewriteFunctionName) != 0)continue;

					// 保護状態変更
					DWORD dwOldProtect;
					if (!VirtualProtect(&pFirstThunk->u1.Function, sizeof(pFirstThunk->u1.Function), PAGE_READWRITE, &dwOldProtect))
						return NULL; // エラー

					// 書き換え
					//OutputDebugString(TEXT("5"));
					void* pOrgFunc = (void*)(intptr_t)pFirstThunk->u1.Function; // 元のアドレスを保存しておく
					WriteProcessMemory(GetCurrentProcess(), &pFirstThunk->u1.Function, &pRewriteFunctionPointer, sizeof(pFirstThunk->u1.Function), NULL);
					pFirstThunk->u1.Function = (intptr_t)pRewriteFunctionPointer;

					// 保護状態戻し
					VirtualProtect(&pFirstThunk->u1.Function, sizeof(pFirstThunk->u1.Function), dwOldProtect, &dwOldProtect);
					return pOrgFunc; // 元のアドレスを返す
				}
			}
		}
	}
	return NULL;
}

void* RewriteFunction(const char* szRewriteModuleName, const char* szRewriteFunctionName, void* pRewriteFunctionPointer)
{
	//OutputDebugString(TEXT("Rewrite1!\n"));
	return RewriteFunctionImp(szRewriteModuleName, szRewriteFunctionName, pRewriteFunctionPointer);
}

void PrintFunctions()
{
	printf("----\n");
	RewriteFunctionImp(NULL, NULL, NULL);
	printf("----\n");
}

Answer 1

    if (_tcsstr(fileNameBuf, TEXT("notepad.exe")) != NULL) {
        OutputDebugString(TEXT("nodepad_start1!\n"));
        MessageBoxAPtr = (fp_MessageBoxA)RewriteFunction("User32.dll", "MessageBoxA", HookedMessageBoxA);
        //createFileWPtr = (fp_CreateFileW)RewriteFunction("kernel32.dll", "CreateFileW", HookedCreateFileW);
        OutputDebugString(TEXT("nodepad_start2!\n"));
        WinExecPtr = (fp_WinExec)RewriteFunction("Kernel32.dll", "WinExec", HookedWinExec);
    }

notepad.exeがMessageBoxAやWinExecを使う場面を想像できませんがifで場合分けする必要がありますか？

また、対象のプロセスがMessageBoxWなどの別の手段を用いている可能性はありませんか？

Comments

[sitsumon_jirou]

回答ありがとうございます．
if文の削除が必要でした．
API　Monitorを確認したら，MessageBoxWを使用していました．