void hook_api(void)
{
char alten5byte[20];
char buffer;
DWORD rw = 0;
int* originalFunktion = 0x0;
int* hookFunktion = 0x0;
int* nops = 0x0; 
int* temp_addr = 0x0; 
int* temp_addr2 = 0x0;
int* sprungweg = 0x0;
HANDLE hproc = OpenProcess(PROCESS_ALL_ACCESS, FALSE, GetCurrentProcessId()); 
/* Addresse der Funktion auslesen */
HINSTANCE hDLL = LoadLibrary("user32.dll");
originalFunktion = (int*)GetProcAddress(hDLL,"MessageBoxA");
FreeLibrary(hDLL);

 temp_addr  = originalFunktion;
 temp_addr2 = (int*)&nops;

 for(int i = 0;i < 5;i++)
  {
      if(!ReadProcessMemory(hproc,(LPCVOID)temp_addr,&buffer,sizeof(buffer),&rw))
        MessageBox(GetForegroundWindow(),"inhalt","name",MB_OK);
      if(!WriteProcessMemory(hproc,(LPVOID)temp_addr2,&buffer,sizeof(buffer),&rw))
        MessageBox(GetForegroundWindow(),"inhalt","name",MB_OK);
      ++temp_addr ;
      ++temp_addr2;
  }

  ++temp_addr ;
  ++temp_addr2;

  sprungweg = sprungoffset(temp_addr2,temp_addr);
  buffer = 0xE9;
  WriteProcessMemory(hproc,(LPVOID)temp_addr2,&buffer,sizeof(buffer),&rw);
  WriteProcessMemory(hproc,(LPVOID)++temp_addr2,&sprungweg,sizeof(sprungweg),&rw);

  temp_addr2 = originalFunktion;
  sprungweg = sprungoffset(temp_addr2,nops);
  buffer = 0xE9;
  WriteProcessMemory(hproc,(LPVOID)temp_addr2,&buffer,sizeof(buffer),&rw);
  WriteProcessMemory(hproc,(LPVOID)++temp_addr2,&sprungweg,sizeof(sprungweg),&rw);

}

int* sprungoffset(int* absprung,int* ziel)
{
  int weg;
  absprung += 5;
  weg = ziel - absprung;
  return (int*)weg;
}

Könnte es an meinen wilden Casts liegen?

Danke im voraus,
Xalon

In diesem Code werden die ersten 5 Bytes der Funktion gespeichert,nach den gespeicherten 5 Byte kommt dann ein Jump zu MessageBox + 6!

Das ist eine sehr schlechte Idee. Du musst Dir schon die Mühe machem, diese ersten Bytes zu analysieren um dann entscheiden zu können, wieviele Bytes Du kopieren musst!
Auch solltest Du die Rückgabewerte von "WriteProcessMemory" auswerten...

Xalon

Wenns noch nicht funktioniert werd ich hier pushen,k?

void hook_api(void)
{
char alten5byte[20];
char buffer;
DWORD rw = 0;
unsigned originalFunktion = 0x0;
unsigned hookFunktion = 0x0;
unsigned nops = (unsigned)&nops; 
unsigned temp_addr = 0x0; 
unsigned temp_addr2 = 0x0;
unsigned sprungweg = 0x0;
HANDLE hproc = OpenProcess(PROCESS_ALL_ACCESS, FALSE, GetCurrentProcessId()); 
/* Addresse der Funktion auslesen */
HINSTANCE hDLL = LoadLibrary("user32.dll");
originalFunktion = (unsigned)GetProcAddress(hDLL,"MessageBoxA");
FreeLibrary(hDLL);

 temp_addr  = originalFunktion;
 temp_addr2 = nops;

 for(int i = 0;i < 5;i++)
  {
      if(!ReadProcessMemory(hproc,(LPCVOID)temp_addr,&buffer,sizeof(buffer),&rw))
        MessageBox(GetForegroundWindow(),"FEHLER!!","FEHLER!!",MB_OK);
      if(!WriteProcessMemory(hproc,(LPVOID)temp_addr2,&buffer,sizeof(buffer),&rw))
        MessageBox(GetForegroundWindow(),"FEHLER!!","FEHLER!!",MB_OK);
      ++temp_addr ;
      ++temp_addr2;
  }

  ++temp_addr ;
  ++temp_addr2;

  sprungweg = sprungoffset(temp_addr2,temp_addr);
  buffer = 0xE9;
  if(!WriteProcessMemory(hproc,(LPVOID)temp_addr2,&buffer,sizeof(buffer),&rw))
    MessageBox(GetForegroundWindow(),"1.1","1.1",MB_OK);
  if(!WriteProcessMemory(hproc,(LPVOID)++temp_addr2,&sprungweg,sizeof(sprungweg),&rw))
    MessageBox(GetForegroundWindow(),"1.2","1.2",MB_OK);
  ////////////////////////////////////////////////////
  //HIER IST DER FEHLER!! ES ERSCHEINEN BEIDE BOXEN!!
  ////////////////////////////////////////////////////
  temp_addr2 = originalFunktion;
  sprungweg = sprungoffset(temp_addr2,nops);
  buffer = 0xE9;
  if(!WriteProcessMemory(hproc,(LPVOID)temp_addr2,&buffer,sizeof(buffer),&rw))
    MessageBox(GetForegroundWindow(),"2.1","2.1",MB_OK);
  if(!WriteProcessMemory(hproc,(LPVOID)++temp_addr2,&sprungweg,sizeof(sprungweg),&rw))
    MessageBox(GetForegroundWindow(),"2.2","2.2",MB_OK);

  ////////////////////////////////////////////////////
  ////////////////////////////////////////////////////
  ////////////////////////////////////////////////////
}

//int MessageBox(HWND hWnd,LPCTSTR lpText,LPCTSTR lpCaption,UINT uType); 

void nops(void)
{
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
 asm("NOP");
}

unsigned sprungoffset(unsigned absprung,unsigned ziel)
{
  int weg;
  absprung += 5;
  weg = ziel - absprung;
  return weg;
}

Schon mal Danke im voraus,
Xalon

DWORD dwOldProtect;
  temp_addr2 = originalFunktion;
  VirtualProtect((void*)temp_addr2, 16, PAGE_EXECUTE_READWRITE, &dwOldProtect);

  sprungweg = sprungoffset(temp_addr2,nops);
  buffer = 0xE9;
  if(!WriteProcessMemory(hproc,(LPVOID)temp_addr2,&buffer,sizeof(buffer),&rw))
    MessageBox(GetForegroundWindow(),"2.1","2.1",MB_OK);
  if(!WriteProcessMemory(hproc,(LPVOID)++temp_addr2,&sprungweg,sizeof(sprungweg),&rw))
    MessageBox(GetForegroundWindow(),"2.2","2.2",MB_OK);

Ist der Cast überhaupt korrekt?So weit ich jetzt getestet hab(durch cout) ja!
Naja was ist dann der Fehler? ab temp_addr2 sollten 16byte mit PAGE_EXECUTE_READWRITE gesetzt werden...sollten

Ich hoffe auf deine Hilfe
Xalon

@WebNubbi : Ne,wenn schon denn schon

Wieso überschreibst du nicht einfach die Adresse von MessageBoxA in der Import Address Table? Ist doch viel einfacher und ist nicht so eine Frickelarbeit.

Funktioniert aber nur in spezialfällen...

danke im voraus,
Xalon

Jede API Funktion fängt afaik mit 2x2 bytes und 1x1 byte an

Danke im voraus,
Xalon

Na es passt also einfach die ersten 5 Bytes zu sichern

Nein.

Xalon_ schrieb:

Ich find im Netz nichts!Anscheinend klappt bei jedem anderen VirtualProtect...
Wär echt nett von dir wenn du mir weiterhelfen könntest!

Eigentlich ist es ja ganz simpel. Man liest sich die MSDN-Doku dazu durch, und dann würdest Du sofort sehen, was Du falsch machst...

lpAddress
[in] Pointer to the base address of the region of pages whose access protection attributes are to be changed

Das hab ich leider auch schon versucht
VirtualQuery wird auch ausgeführt...
Aber VirtualProtect nicht!

Warum passt es denn nicht einfach die ersten 5 Bytes zu nehmen?

Xalon

P.S:Danke das du mir hilfst

Warum passt es denn nicht einfach die ersten 5 Bytes zu nehmen?

Da es einige Routinen gibt, die nicht mit 5 "passenden" ASM-Bytes anfangen... (schau einfach mal z.B. mittels windbg nach)...
Bsp:
- DbgPrint
- GetStartupInfoA
- GetEnvironmentStringsW
- InterlockedExchange
- InterlockedExchangeAdd

Du weißt nicht warum VirtualProtect immernoch nicht funktioniert,oder?

Danke im voraus,
Xalon

487
ERROR_INVALID_ADDRESS

Loadlibrary und GetProcAddress funktionieren aber einwandfrei!
Ich hab die zurückgegebene Adresse sogar nochmal mit Olly geprüft und es ist definitiv die von MessageBoxA!

Der Fehler muss also im ersten Parameter von VirtualProtect liegen!
mbi.BaseAddress0 = 0x7777b000
mbi.RegionSize = 4608000 !
Ich kann leider keinen Fehler finden
VirtualQuery funktioniert übrigens auch (laut Rückgabewert )
oder ... hmmm ... daran könnte es doch liegen,aber da finde ich leider auch
keinen Fehler!

Ich hab jetzt hier im Forum und in Google gesucht aber leider nichts gefunden
warum VirtualProtect ERROR_INVALID_ADDRESS zurückgibt ...

Ich hoffe du kannst mir helfen und das deine Nerven nicht an mir ... verrecken

Danke im voraus,
Xalon

Mach es doch zuerst mal mit Deinem eigenen Prozess

Hast du das mal gemacht? Wenn das dann klappt weisst du wenigstens schon mal daß es irgendwas mit dem anderen Prozeß zu tun hat und nicht ein grundsätzliches Problem in deinem Code ist.

Danke im voraus,
Xalon

Ja,das hab ich schon ,ich hab quasi meine eigene Funktion gehookt!
Hat auch gefunzt,nur VirtualProtect...will nicht

Ja was jetzt? Hat´s lokal gefunzt oder nicht?
Was für ein OS?

Xalon

P.S:Das war auch nicht lokal...Ich hab mit OpenProcess und Write/Readprocessmemory gepatcht!