D3D函数hook

目前讲的内容已经足够制作大部分游戏的修改器了,主要看你对API的熟悉程度和逆向调试的经验

再深入讲的话就是系统内核层了,比如SSDT hook什么的,而一般单机游戏不会用到内核层的保护(但是大部分网游会),而且调试和修改内核层的东西比较麻烦,很容易蓝屏,所以不打算讲内核的东西

本章介绍怎么hook D3D函数,实现在游戏画面中显示自己的文字,阅读之前最好补习下D3D编程的知识,本章以D3D9、32位程序为例,编译程序需要安装DirectX 9 SDK

虚函数表hook

要在D3D程序里绘制自己的东西一般要hook IDirect3DDevice9的EndScene函数,调用这个函数时原程序的绘制已经完成,可以轮到我们绘制了

可以用inline hook来hook这个函数,但是流行的做法是虚函数表hook

先来看看EndScene是怎么被调用的:

虚函数表hook的原理就是修改虚函数表中的函数地址,使它指向我们的函数(是不是很像IAT hook)

这里说明一下一般成员函数的调用约定默认是__thiscall,也就是从ecx寄存器传入this指针

但是也可以手动声明成其他调用约定,比如__stdcall,这时就从堆栈传入this指针,相当于this指针是函数的第一个参数

D3D所有成员函数的调用约定都是__stdcall,这就方便了我们获取this指针,直接声明成第一个参数就行了(否则要用内联汇编取ecx的值)

虚函数表hook实现


[cpp] view plain copy

  1. BOOL hookVTable(void* pInterface, int index, void* hookFunction, void** oldAddress)  

  2. {  

  3.     void** address = &(*(void***)pInterface)[index];  

  4.     if (address == NULL)  

  5.         return FALSE;  

  6.   

  7.     // 保存原函数地址  

  8.     if (oldAddress != NULL)  

  9.         *oldAddress = *address;  

  10.   

  11.     // 修改虚函数表中地址为hookFunction  

  12.     DWORD oldProtect, oldProtect2;  

  13.     VirtualProtect(address, sizeof(DWORD), PAGE_READWRITE, &oldProtect);  

  14.     *address = hookFunction;  

  15.     VirtualProtect(address, sizeof(DWORD), oldProtect, &oldProtect2);  

  16.   

  17.     return TRUE;  

  18. }  

  19.   

  20. BOOL unhookVTable(void* pInterface, int index, void* oldAddress)  

  21. {  

  22.     // 修改回原函数地址  

  23.     return hookVTable(pInterface, index, oldAddress, NULL);  

  24. }  



(其实就是拿IATHook改的)

hook EndScene

方法1

为了在程序初始化前hook我们要在主线程运行前远线程注入,首先hook Direct3DCreate9,然后是CreateDevice和EndScene


[cpp] view plain copy

  1. typedef IDirect3D9* (WINAPI* Direct3DCreate9Type)(UINT SDKVersion);  

  2. typedef HRESULT(STDMETHODCALLTYPE* CreateDeviceType)(IDirect3D9* thiz, UINT Adapter, D3DDEVTYPE DeviceType, HWND hFocusWindow, DWORD BehaviorFlags, D3DPRESENT_PARAMETERS* pPresentationParameters, IDirect3DDevice9** ppReturnedDeviceInterface);  

  3. typedef HRESULT(STDMETHODCALLTYPE* EndSceneType)(IDirect3DDevice9* thiz);  

  4. Direct3DCreate9Type RealDirect3DCreate9 = NULL;  

  5. CreateDeviceType RealCreateDevice = NULL;  

  6. EndSceneType RealEndScene = NULL;  

  7.   

  8. IDirect3D9* g_d3d9 = NULL;  

  9. IDirect3DDevice9* g_device = NULL;  

  10.   

  11.   

  12. HRESULT STDMETHODCALLTYPE MyEndScene(IDirect3DDevice9* thiz)  

  13. {  

  14.     // 这里放我们的绘制代码  

  15.     return RealEndScene(thiz);  

  16. }  

  17.   

  18. HRESULT STDMETHODCALLTYPE MyCreateDevice(IDirect3D9* thiz, UINT Adapter, D3DDEVTYPE DeviceType, HWND hFocusWindow, DWORD BehaviorFlags, D3DPRESENT_PARAMETERS* pPresentationParameters, IDirect3DDevice9** ppReturnedDeviceInterface)  

  19. {  

  20.     unhookVTable(g_d3d9, 16, RealCreateDevice);  

  21.     HRESULT res = RealCreateDevice(thiz, Adapter, DeviceType, hFocusWindow, BehaviorFlags, pPresentationParameters, ppReturnedDeviceInterface);  

  22.     g_device = *ppReturnedDeviceInterface;  

  23.     hookVTable(g_device, 42, MyEndScene, &RealEndScene); // EndScene是IDirect3DDevice9第43个函数  

  24.     return res;  

  25. }  

  26.   

  27. IDirect3D9* WINAPI MyDirect3DCreate9(UINT SDKVersion)  

  28. {  

  29.     unhookIAT(GetModuleHandle(NULL), "d3d9.dll""Direct3DCreate9");  

  30.     g_d3d9 = RealDirect3DCreate9(SDKVersion);  

  31.     hookVTable(g_d3d9, 16, MyCreateDevice, &RealCreateDevice); // CreateDevice是IDirect3D9第17个函数  

  32.     return g_d3d9;  

  33. }  

  34.   

  35.   

  36. BOOL APIENTRY DllMain( HMODULE hModule,  

  37.                        DWORD  ul_reason_for_call,  

  38.                        LPVOID lpReserved  

  39.                      )  

  40. {  

  41.     switch (ul_reason_for_call)  

  42.     {  

  43.     case DLL_PROCESS_ATTACH:  

  44.         hookIAT(GetModuleHandle(NULL), "d3d9.dll""Direct3DCreate9", MyDirect3DCreate9, &RealDirect3DCreate9);  

  45.         break;  

  46.   

  47.     case DLL_PROCESS_DETACH:  

  48.         if (g_device != NULL && RealEndScene != NULL)  

  49.             unhookVTable(g_device, 42, RealEndScene);  

  50.         break;  

  51.   

  52.     case DLL_THREAD_ATTACH:  

  53.     case DLL_THREAD_DETACH:  

  54.         break;  

  55.     }  

  56.     return TRUE;  

  57. }  


方法2

这个方法不需要在主线程运行前注入,CE和直播软件OBS也是用了这个方法,所以推荐使用

理论上同一个类的虚函数地址是一样的,所以我们可以自己创建一个IDirect3DDevice9,然后就能获取虚函数地址了

经测试不同IDirect3DDevice9的虚函数表指针不一样,所以只能用inline hook,不能用虚函数表hook


[cpp] view plain copy

  1. void* endSceneAddr = NULL;  

  2. BYTE endSceneOldCode[sizeof(JmpCode)];  

  3.   

  4.   

  5. HRESULT STDMETHODCALLTYPE MyEndScene(IDirect3DDevice9* thiz)  

  6. {  

  7.     // 这里放我们的绘制代码  

  8.   

  9.     unhook(endSceneAddr, endSceneOldCode);  

  10.     HRESULT hr = thiz->EndScene();  

  11.     hook(endSceneAddr, MyEndScene, endSceneOldCode);  

  12.     return hr;  

  13. }  

  14.   

  15. DWORD WINAPI initHookThread(LPVOID dllMainThread)  

  16. {  

  17.     // 等待DllMain(LoadLibrary线程)结束  

  18.     WaitForSingleObject(dllMainThread, INFINITE);  

  19.     CloseHandle(dllMainThread);  

  20.   

  21.     // 创建一个窗口用于初始化D3D  

  22.   

  23.     WNDCLASSEX wc = {};  

  24.     wc.cbSize = sizeof(wc);  

  25.     wc.style = CS_OWNDC;  

  26.     wc.hInstance = GetModuleHandle(NULL);  

  27.     wc.lpfnWndProc = DefWindowProc;  

  28.     wc.lpszClassName = _T("DummyWindow");  

  29.     if (RegisterClassEx(&wc) == 0)  

  30.     {  

  31.         MessageBox(NULL, _T("注册窗口类失败"), _T(""), MB_OK);  

  32.         return 0;  

  33.     }  

  34.   

  35.     HWND hwnd = CreateWindowEx(0, wc.lpszClassName, _T(""), WS_OVERLAPPEDWINDOW, 0, 0, 640, 480, NULL, NULL, wc.hInstance, NULL);  

  36.     if (hwnd == NULL)  

  37.     {  

  38.         MessageBox(NULL, _T("创建窗口失败"), _T(""), MB_OK);  

  39.         return 0;  

  40.     }  

  41.   

  42.     // 初始化D3D  

  43.   

  44.     IDirect3D9* d3d9 = Direct3DCreate9(D3D_SDK_VERSION);  

  45.     if (d3d9 == NULL)  

  46.     {  

  47.         MessageBox(NULL, _T("创建D3D失败"), _T(""), MB_OK);  

  48.         DestroyWindow(hwnd);  

  49.         return 0;  

  50.     }  

  51.   

  52.     D3DPRESENT_PARAMETERS pp = {};  

  53.     pp.Windowed = TRUE;  

  54.     pp.SwapEffect = D3DSWAPEFFECT_COPY;  

  55.   

  56.     IDirect3DDevice9* device;  

  57.     if (FAILED(d3d9->CreateDevice(D3DADAPTER_DEFAULT, D3DDEVTYPE_HAL, hwnd,   

  58.         D3DCREATE_SOFTWARE_VERTEXPROCESSING, &pp, &device)))  

  59.     {  

  60.         MessageBox(NULL, _T("创建设备失败"), _T(""), MB_OK);  

  61.         d3d9->Release();  

  62.         DestroyWindow(hwnd);  

  63.         return 0;  

  64.     }  

  65.   

  66.     // hook EndScene  

  67.     endSceneAddr = (*(void***)device)[42]; // EndScene是IDirect3DDevice9第43个函数  

  68.     hook(endSceneAddr, MyEndScene, endSceneOldCode);  

  69.   

  70.     // 释放  

  71.     d3d9->Release();  

  72.     device->Release();  

  73.     DestroyWindow(hwnd);  

  74.     return 0;  

  75. }  

  76.   

  77.   

  78. BOOL APIENTRY DllMain(HMODULE hModule,  

  79.     DWORD  ul_reason_for_call,  

  80.     LPVOID lpReserved  

  81.     )  

  82. {  

  83.     switch (ul_reason_for_call)  

  84.     {  

  85.     case DLL_PROCESS_ATTACH:  

  86.         // 取当前线程句柄  

  87.         HANDLE curThread;  

  88.         if (!DuplicateHandle(GetCurrentProcess(), GetCurrentThread(), GetCurrentProcess(), &curThread, SYNCHRONIZE, FALSE, 0))  

  89.             return FALSE;  

  90.         // DllMain中不能使用COM组件,所以要在另一个线程初始化  

  91.         CloseHandle(CreateThread(NULL, 0, initHookThread, curThread, 0, NULL));  

  92.         break;  

  93.   

  94.     case DLL_PROCESS_DETACH:  

  95.         if (endSceneAddr != NULL)  

  96.             unhook(endSceneAddr, endSceneOldCode);  

  97.         break;  

  98.   

  99.     case DLL_THREAD_ATTACH:  

  100.     case DLL_THREAD_DETACH:  

  101.         break;  

  102.     }  

  103.     return TRUE;  

  104. }  


绘制文字

这部分就直接用D3D的API了,不懂的去看看D3D教程...

  1. HRESULT STDMETHODCALLTYPE MyEndScene(IDirect3DDevice9* thiz)  

  2. {  

  3.     static RECT rect = { 0, 0, 200, 200 };  

  4.     g_font->DrawText(NULL, _T("Hello World"), -1, &rect, DT_TOP | DT_LEFT, D3DCOLOR_XRGB(255, 0, 0));  

  5.   

  6.     return RealEndScene(thiz);  

  7. }  

  8.   

  9. HRESULT STDMETHODCALLTYPE MyCreateDevice(IDirect3D9* thiz, UINT Adapter, D3DDEVTYPE DeviceType, HWND hFocusWindow, DWORD BehaviorFlags, D3DPRESENT_PARAMETERS* pPresentationParameters, IDirect3DDevice9** ppReturnedDeviceInterface)  

  10. {  

  11.     unhookVTable(g_d3d9, 16, RealCreateDevice);  

  12.     HRESULT res = RealCreateDevice(thiz, Adapter, DeviceType, hFocusWindow, BehaviorFlags, pPresentationParameters, ppReturnedDeviceInterface);  

  13.     g_device = *ppReturnedDeviceInterface;  

  14.   

  15.     D3DXFONT_DESC d3dFont = {};  

  16.     d3dFont.Height = 25;  

  17.     d3dFont.Width = 12;  

  18.     d3dFont.Weight = 500;  

  19.     d3dFont.Italic = FALSE;  

  20.     d3dFont.CharSet = DEFAULT_CHARSET;  

  21.     wcscpy_s(d3dFont.FaceName, L"Times New Roman");  

  22.     D3DXCreateFontIndirect(g_device, &d3dFont, &g_font);  

  23.   

  24.     // 测试中不知道为什么第一次调用DrawText后device的虚函数表会恢复,没办法只好在hook前调用一次  

  25.     static RECT rect = { 0, 0, 200, 200 };  

  26.     g_font->DrawText(NULL, _T("Hello World"), -1, &rect, DT_TOP | DT_LEFT, D3DCOLOR_XRGB(255, 0, 0));  

  27.   

  28.     hookVTable(g_device, 42, MyEndScene, &RealEndScene); // EndScene是IDirect3DDevice9第43个函数  

  29.   

  30.     return res;  

  31. }  

效果

本章完整源码

转载记录2019-03-04浏览(1672评论(4581)