#実現したいこと
Ntdll.dllに存在するAPI「NtUnmapViewOfSection」のフックを行い，NtUnmapViewOfSectionを呼び出したプロセスを特定しようとしています．
notepad.exeをJavaコードをかけない体に改造するを参考にしています．
自分の以前の質問と似たような質問ですが，変更点，エラー内容が違っているので回答お願いします．
#悩んでいること
１．rewriteファンクション内でNtdll.dllの参照を行うが参照できず「アプリケーションが正しく動作しませんでした」と表示される．他のdll（kernel32.dllなど）では参照，フックを行うときにそのようなエラーは出なかった．アドレスの問題と推測しているが不明．
２．GetModuleFileName(GetModuleHandle(NULL), fileNameBuf, MAX_PATH) > 0)でAPIを呼び出したプロセスを特定できるのか？
HookedNtUnmapViewOfSection()内でOutputDebugString(fileNameBuf);としているがこれで正しいのかわからない．

コード

自作dll（WaruiDll）の作成部分とdllファイルばらまき部分に分かれています．
##自作dllファイルの作成
dllmainでdllファイルのエントリポイントの作成とrewriteファンクションの呼び出しを行います．
このコードによって作成されるdllファイルはプロセスがアタッチされたときに実行されます．
rewriteファンクションはrewrite.cppの中で定義されています．

dllmain
1// dllmain.cpp : DLL アプリケーションのエントリ ポイントを定義します。
2#include "stdafx.h"
3#include "rewrite.h"
4#include <windows.h>
5#include <stdio.h>
6
7fp_NtUnmapViewOfSection NtUnmapViewOfSectionPtr = NULL;
8TCHAR fileNameBuf[MAX_PATH]=("not complete");
9
10NTSTATUS
11WINAPI
12HookedNtUnmapViewOfSection(
13	HANDLE ProcessHandle,
14	PVOID  BaseAddress
15)
16{
17	OutputDebugString(fileNameBuf);
18	OutputDebugString(TEXT("HookedNtUnmapViewOfSection!\n"));
19	return NtUnmapViewOfSectionPtr(ProcessHandle,BaseAddress);
20}
21
22
23void APIHook() {
24	if (GetModuleFileName(GetModuleHandle(NULL), fileNameBuf, MAX_PATH) > 0) {
25			NtUnmapViewOfSectionPtr = (fp_NtUnmapViewOfSection)RewriteFunction("Ntdll.dll", "NtUnmapViewOfSection", HookedNtUnmapViewOfSection);
26	}
27}
28
29BOOL APIENTRY DllMain( HMODULE hModule,
30                       DWORD  dwReason,
31                       LPVOID lpReserved
32					 )
33{
34	if (dwReason == DLL_PROCESS_ATTACH)
35	{
36		DisableThreadLibraryCalls(hModule);
37		APIHook();
38	}
39	return TRUE;
40}

rewriteの中でrewriteファンクションを定義しています．
rewriteファンクションでは，第一引数にフックを行いたいAPIが含まれるdllファイル名，第二引数にフックを行いたいAPI名，第三引数にフックを行った時の挙動を記したファンクションのポインタを渡します．
dllファイルのハンドルを求め，NULLチェックをしたのちに，dllファイル内を全探索して第二引数のAPI名を探し，見つかったら第三引数のファンクションに置き換える．

rewrite
1#include "stdafx.h"
2#include <stdlib.h>
3#include <imagehlp.h>
4#include "rewrite.h"
5#pragma comment(lib,"imagehlp.lib")
6
7void* RewriteFunctionImp(const char* szRewriteModuleName, const char* szRewriteFunctionName, void* pRewriteFunctionPointer)
8{
9	for (int i = 0; i < 2; i++) {
10		// ベースアドレス
11		intptr_t pBase = 0;
12		if (i == 0) {
13			if (szRewriteModuleName) {
14				pBase = (intptr_t)::GetModuleHandleA(szRewriteModuleName);
15			}
16		}
17		else if (i == 1) {
18			pBase = (intptr_t)GetModuleHandle(NULL);
19		}
20		if (!pBase)continue;
21		
22		// イメージ列挙
23		ULONG ulSize;
24		PIMAGE_IMPORT_DESCRIPTOR pImgDesc = (PIMAGE_IMPORT_DESCRIPTOR)ImageDirectoryEntryToData((HMODULE)pBase, TRUE, IMAGE_DIRECTORY_ENTRY_IMPORT, &ulSize);
25		for (; pImgDesc->Name; pImgDesc++) {
26			const char* szModuleName = (char*)(intptr_t)(pBase + pImgDesc->Name);
27			// THUNK情報
28			PIMAGE_THUNK_DATA pFirstThunk = (PIMAGE_THUNK_DATA)(intptr_t)(pBase + pImgDesc->FirstThunk);
29			PIMAGE_THUNK_DATA pOrgFirstThunk = (PIMAGE_THUNK_DATA)(intptr_t)(pBase + pImgDesc->OriginalFirstThunk);
30			// 関数列挙
31			
32			for (; pFirstThunk->u1.Function; pFirstThunk++, pOrgFirstThunk++) {
33				if (IMAGE_SNAP_BY_ORDINAL(pOrgFirstThunk->u1.Ordinal))continue;
34				PIMAGE_IMPORT_BY_NAME pImportName = (PIMAGE_IMPORT_BY_NAME)(intptr_t)(pBase + (intptr_t)pOrgFirstThunk->u1.AddressOfData);
35				if (!szRewriteFunctionName) {
36					// 表示のみ
37					printf("Module:%s Hint:%d, Name:%s\n", szModuleName, pImportName->Hint, pImportName->Name);
38				}
39				else {
40					// 書き換え判定
41					if (stricmp((const char*)pImportName->Name, szRewriteFunctionName) != 0)continue;
42					
43					// 保護状態変更
44					DWORD dwOldProtect;
45					if (!VirtualProtect(&pFirstThunk->u1.Function, sizeof(pFirstThunk->u1.Function), PAGE_READWRITE, &dwOldProtect))
46						return NULL; // エラー
47					//OutputDebugString(pImportName->Name);
48					// 書き換え
49					void* pOrgFunc = (void*)(intptr_t)pFirstThunk->u1.Function; // 元のアドレスを保存しておく
50					WriteProcessMemory(GetCurrentProcess(), &pFirstThunk->u1.Function, &pRewriteFunctionPointer, sizeof(pFirstThunk->u1.Function), NULL);
51					pFirstThunk->u1.Function = (intptr_t)pRewriteFunctionPointer;
52
53					// 保護状態戻し
54					VirtualProtect(&pFirstThunk->u1.Function, sizeof(pFirstThunk->u1.Function), dwOldProtect, &dwOldProtect);
55					return pOrgFunc; // 元のアドレスを返す
56				}
57			}
58		}
59	}
60	return NULL;
61}
62
63void* RewriteFunction(const char* szRewriteModuleName, const char* szRewriteFunctionName, void* pRewriteFunctionPointer)
64{
65	//OutputDebugString(TEXT("Rewrite1!\n"));
66	return RewriteFunctionImp(szRewriteModuleName, szRewriteFunctionName, pRewriteFunctionPointer);
67}

Inject()の中でSetWindowsHookEx()を呼び出す．

WaruiDll
1#include "stdafx.h"
2
3LRESULT WINAPI HookProc(int code, WPARAM wParam, LPARAM lParam) {
4	return NULL;
5}
6
7void Inject() {
8	//OutputDebugString(TEXT("Inject!\n"));
9	SetWindowsHookEx(WH_CALLWNDPROC, HookProc, GetModuleHandle(__TEXT("WaruiDll")), 0);
10}

#dllばらまき部分
メインの中で自作したdllファイルをばらまくInject()を呼び出す．

main
1#include "stdafx.h"
2
3int main()
4{
5	Inject();
6	printf("I am WaruiApp!\n");
7	getchar();
8    return 0;
9}
10

行動規範の内容に同意します

回答1件

ベストアンサー

まず、Native API の Hook に SetWindowsHookEx は無意味です。
なぜなら、DLL Injection の対象が GUI アプリに限定されてしまうから。
NtUnmapViewOfSection() は CUI (コンソール) アプリでも利用可能なので、SetWindowsHookEx では対応できません。

不特定のプロセスに対して NtUnmapViewOfSection() をフックしたいのであれば、まずプロセスの Create / Terminate を監視する機能が必要です。
プロセスの Create / Terminate を監視は色々と方法がありますが、一番ベストな方法はカーネルモードドライバを作成し、その中で PsSetCreateProcessNotifyRoutine (あるいは PsSetCreateProcessNotifyRoutineEx) で新規プロセス生成を監視する実装です。

PsSetCreateProcessNotifyRoutineEx
https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntddk/nf-ntddk-pssetcreateprocessnotifyroutineex

ただしカーネルモードドライバは、ユーザモード側で動作する一般的なアプリやサービスとは全く異なる知識が必要になるので、それなりに難易度は高いです。
それ以外としては、EnumProcessModules() で定期的にプロセスの増減を監視する方法もありますが、CPU リソースを無駄に消費するのでパフォーマンス的に難があり、かつ一部のサービスプロセスに対しては検出することができないという制限もあります。

で、とにかくプロセスの Create / Terminate を監視する機能が実現出来たら、OpenProcess(), VirtualAllocEx(), WriteProcessMemory(), CreateRemoteThreadEx() の各API を組み合わせて、外部プロセスから対象 DLL を Injection します。

LoadLibrary,CreateRemoteThreadを使ったDLL Injectionをやってみる
https://snoozy.hatenablog.com/entry/2019/12/22/195234

DLL Injection に成功したら、その DLL 内から Hook Routine を仕掛けます。
質問に提示されているコードは PEHeader 内の IAT 書き換えによる実装方法ですが、これも意味がないです。
対象プロセス内に、GetProcAddress() により自前で NtUnmapViewOfSection() ルーチンアドレスを取得しているモジュールが存在する場合、IAT に NtUnmapViewOfSection() ルーチンアドレスは存在しないので、Catch することもできません。
(さらに言えば、IAT による Hook では、そのプロセス内にロードされているすべてのモジュールの PEHeaser をチェックする必要があるので、とても面倒なのに上記のような「落ち」がある。)
漏れなく監視したいのであれば、NtUnmapViewOfSection() ルーチンの prologue code を改ざんする必要があります。
(お手軽に実現したいなら "Detours" がお勧め。)

メモリパッチによるAPIフックコードの実装をやってみる
https://snoozy.hatenablog.com/entry/2020/02/29/093033

投稿2020/10/28 08:47

質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう！

コード

PsSetCreateProcessNotifyRoutineEx https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntddk/nf-ntddk-pssetcreateprocessnotifyroutineex

で、とにかくプロセスの Create / Terminate を監視する機能が実現出来たら、OpenProcess(), VirtualAllocEx(), WriteProcessMemory(), CreateRemoteThreadEx() の各API を組み合わせて、外部プロセスから対象 DLL を Injection します。

LoadLibrary,CreateRemoteThreadを使ったDLL Injectionをやってみる https://snoozy.hatenablog.com/entry/2019/12/22/195234

メモリパッチによるAPIフックコードの実装をやってみる https://snoozy.hatenablog.com/entry/2020/02/29/093033

関連した質問

PsSetCreateProcessNotifyRoutineEx
https://docs.microsoft.com/en-us/windows-hardware/drivers/ddi/ntddk/nf-ntddk-pssetcreateprocessnotifyroutineex

LoadLibrary,CreateRemoteThreadを使ったDLL Injectionをやってみる
https://snoozy.hatenablog.com/entry/2019/12/22/195234

メモリパッチによるAPIフックコードの実装をやってみる
https://snoozy.hatenablog.com/entry/2020/02/29/093033