C++怎么hook系统API函数-C++-PHP中文网

detours是windows下hook messageboxa最简可行方案，需用匹配架构编译、调用detourtransactionbegin和detourupdatethread、通过getprocaddress获取原始函数指针，并在dllmain中完成attach与detach。

c++怎么hook系统api函数

Windows下用Detours库hook `MessageBoxA`最简可行路径

直接改写IAT或手动打补丁太容易崩，除非你真在写驱动或反作弊模块。对绝大多数应用层需求，Detours是唯一值得立刻上手的方案——它封装了x86/x64指令重写、跳转桩生成、线程同步等所有脏活，且微软官方维护，兼容Win10/11最新补丁。

实操要点：

必须用与目标进程一致的架构编译（x64进程不能注入x86 DLL）
DetourAttach前需调用DetourTransactionBegin和DetourUpdateThread（传当前线程句柄），漏掉任一环节都会导致hook静默失败
原始函数指针必须用GetProcAddress获取，硬编码地址在ASLR启用后必错

static int (WINAPI *TrueMessageBoxA)(HWND, LPCSTR, LPCSTR, UINT) = nullptr;
int WINAPI HookMessageBoxA(HWND hWnd, LPCSTR lpText, LPCSTR lpCaption, UINT uType) {
    // 可修改参数或拦截
    return TrueMessageBoxA(hWnd, "HOOKED: ", lpCaption, uType);
}
// ... 在DllMain中：
TrueMessageBoxA = (decltype(TrueMessageBoxA))GetProcAddress(GetModuleHandleA("user32.dll"), "MessageBoxA");
DetourTransactionBegin();
DetourUpdateThread(GetCurrentThread());
DetourAttach(&(PVOID&)TrueMessageBoxA, HookMessageBoxA);
DetourTransactionCommit();

为什么`SetWindowsHookEx`不能用来hook任意API

它只能拦截特定消息循环事件（如WH_CALLWNDPROC、WH_GETMESSAGE），本质是往消息队列插钩子，和API函数执行无直接关系。想hook CreateFileA或send？这条路完全走不通。

常见误解：

以为SetWindowsHookEx能全局劫持所有进程的任意函数调用——实际它只影响安装了该钩子线程的消息分发
试图用它hook控制台程序——这类程序没有消息循环，钩子根本不会触发
混淆“系统级钩子”和“API hook”，前者是UI消息调度机制，后者是函数入口地址篡改

自己写inline hook时`jmp rel32`长度计算容易出错

x86下jmp指令的相对偏移是32位有符号整数，但目标地址减去当前jmp指令末地址（不是起始地址）才是真实偏移。手动算错一个字节，跳转就会飞到非法内存，进程直接崩溃。

C++14

C++14 对 C++11 的修正与增强版本，适合旧系统维护和较老工具链兼容。

下载

关键细节：

原函数开头至少5字节可被覆盖（x64需14字节），否则无法塞入jmp指令
被覆盖的原指令必须在跳转前保存到跳转桩里，否则函数逻辑损坏
多线程环境下，必须用VirtualProtect临时改写内存页为PAGE_EXECUTE_READWRITE，且需SuspendThread目标线程再patch，否则可能在指令执行中途被篡改