前言

老婆喜欢在QQ游戏玩拖拉机，且安装了一个记牌器小软件，打开的时候弹出几个IE页面加载很多广告，于是叫我去掉广告。想想可以用OD进行nop填充，也可以写api hook替换shellexecute函数的调用，以前也有见过有人使用hex editor修改shellexecute函数的，但搞了多年C#，其它很多原来就不熟悉的都忘记了，迫于无奈于是选择Api Hook这个方式。选择这Api Hook也面临很多难题，如何远程注入，如何让远程进程加载.net的程序集，.net程序集如何完成Api的hook工作，网上查到微软的detours库，可以满足APi Hook需求，由于非班科出身，所以从0基础开始使用VC对detours库进行封装和导出给.net进行pinvoke调用（以前搞delphi去了)。

解决方案

1、使用C++编写Core.dll这个动态连接库，封装detours库的函数并导出，同时开启C++/CLI，使用托管代码编写反射加载和执行外部.Net程序集的Main入口函数；

2、外部.Net程序集使用pinvoke调用Core.dll来完成Api Hook；

3、再编写一个Main.dll动态连接库，dllMain创建线程加载Core.dll，使Core.dll加载和运行指定的.Net程序集。

Core.dll功能

远程注入并Hook Api

更方便的封装

上面的main.dll是给远程注入使用的，core.dll是detours的封装，也是.net程序集的加载器，为了更容易使用core.dll，我使用.net写了一个叫coreNet.dll的程序集，是对core.dll的导出函数的封装，提供了APi Hook、Window Hook，还有注入相关方法。

创建进程并注入DotNet_ApiHook.dll例子：

Inject.InjectToProcess("TargetProcess.exe", null, "DotNet_ApiHook.dll");

DotNet_ApiHook.dll 代码例子，下面是Hook住MessageBoxW函数：

    public class Program

    {

        [UnmanagedFunctionPointer(CallingConvention.StdCall, CharSet = CharSet.Unicode)]

        private delegate int MessageBoxW(IntPtr hwnd, string text, string caption, int type);

        private static HookResult<MessageBoxW> messageBoxW;

        /// <summary>

        /// 程序集入口函数

        /// </summary>

        /// <param name="args"></param>

        public static void Main(string[] args)

        {

            messageBoxW = Hook.HookApi<MessageBoxW>("user32.dll", "MessageBoxW", MessageBoxW_Proxy);

        }

        private static int MessageBoxW_Proxy(IntPtr hwnd, string text, string caption, int type)

        {

            return messageBoxW.TargetApi.Invoke(hwnd, "[Hook]" + text, "[Hook]" + caption, type ==  ?  : type);

        }

    }

代码下载

当然，所有代码，包括我蹩脚的非托管代码部分，还有网上抄写的，以及.Net的，都拿出给大家看看，工程已经放在了https://github.com/xljiulang/HookSln

如果你想只下载编译好的可以 点击这里下载

其它工程：高性能高可扩展性Socket组件