DLL hardware breakpoint problème ?

**KevinDA** · 16/09/2022, 03h47

Bonsoir, je n'arrive pas a faire fonctionner un hardware breakpoint sur une application x64. Voici le code ce dessous. Est-ce que quelqu'un peut m'aider ?

dllmain.cpp

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
 
    #include "dll.h"
    #include <stdlib.h>
    CContextHook GContextHook;
 
    LONG WINAPI ExceptionHandler(EXCEPTION_POINTERS* e)
    {
       if (e->ExceptionRecord->ExceptionCode != EXCEPTION_SINGLE_STEP)
       {
          return EXCEPTION_CONTINUE_SEARCH;
       }
 
       Context_t* Context = GContextHook.GetContextInfo();
 
       if (Context)
       {
          if (e->ExceptionRecord->ExceptionAddress == (PVOID)(intptr_t)Context->Hook1 ||
             e->ExceptionRecord->ExceptionAddress == (PVOID)(intptr_t)Context->Hook2 ||
             e->ExceptionRecord->ExceptionAddress == (PVOID)(intptr_t)Context->Hook3 ||
             e->ExceptionRecord->ExceptionAddress == (PVOID)(intptr_t)Context->Hook4)
          {
             Handler_t Handler = GContextHook.GetHandlerInfo();
 
             if (Handler)
             {
                Handler(Context, e);
             }
 
             return EXCEPTION_CONTINUE_EXECUTION;
          }
       }
 
       return EXCEPTION_CONTINUE_SEARCH;
    }
 
    bool CContextHook::InitiateContext(Handler_t ContextHandler, Context_t* C)
    {
 
       if (C == NULL || ContextHandler == NULL)
          return false;
 
       m_Handler = ContextHandler;
 
       memcpy(&m_Context, C, sizeof(Context_t));
 
       if (IsReady(&C->Hook1) == false)
          return false;
       HANDLE hMainThread = GetMainThread();
       if (hMainThread == INVALID_HANDLE_VALUE)
          return false;
       srand(GetTickCount());
       PVOID pHandler = AddVectoredExceptionHandler(1, ExceptionHandler);
       if (pHandler == NULL)
          return false;
       m_pHandler = pHandler;
       CONTEXT c;
 
       c.ContextFlags = CONTEXT_DEBUG_REGISTERS;
       SuspendThread(hMainThread);
       GetThreadContext(hMainThread, &c);
       c.Dr0 = C->Hook1;
 
       int SevenFlags = (1 << 0);
 
       if (IsReady(&C->Hook2))
       {
          SevenFlags |= (1 << 2);
 
          c.Dr1 = C->Hook2;
       }
       if (IsReady(&C->Hook3))
       {
          SevenFlags |= (1 << 4);
 
          c.Dr2 = C->Hook3;
       }
       if (IsReady(&C->Hook4))
       {
          SevenFlags |= (1 << 6);
 
          c.Dr3 = C->Hook4;
       }
 
       c.Dr6 = 0x00000000;
 
       c.Dr7 = SevenFlags;
 
 
       SetThreadContext(hMainThread, &c);
 
       ResumeThread(hMainThread);
 
       return true;
    }
 
    Context_t* CContextHook::GetContextInfo(void)
    {
       return &m_Context;
    }
 
    Handler_t CContextHook::GetHandlerInfo(void)
    {
       return m_Handler;
    }
 
    bool CContextHook::ClearContext(void)
    {
       HANDLE hMainThread = GetMainThread();
 
       if (hMainThread == INVALID_HANDLE_VALUE)
          return false;
 
       CONTEXT c;
 
       c.ContextFlags = CONTEXT_DEBUG_REGISTERS;
 
       SuspendThread(hMainThread);
 
       GetThreadContext(hMainThread, &c);
 
       c.Dr0 = 0;
       c.Dr1 = 0;
       c.Dr2 = 0;
       c.Dr3 = 0;
       c.Dr6 = 0;
       c.Dr7 = 0;
 
       SetThreadContext(hMainThread, &c);
 
       ResumeThread(hMainThread);
 
       return true;
    }
 
    bool CContextHook::IsReady(unsigned long* H)
    {
       if (!H)
          return false;
 
       return (*H != NULL);
    }
 
    DWORD CContextHook::GetProcessThreadId(unsigned long ProcessId)
    {
       HANDLE hSnapThread = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, ProcessId);
 
       if (hSnapThread == INVALID_HANDLE_VALUE)
       {
          return NULL;
       }
 
       THREADENTRY32 te;
 
       te.dwSize = sizeof(THREADENTRY32);
 
       if (Thread32First(hSnapThread, &te))
       {
          do
          {
             if (te.th32OwnerProcessID == ProcessId)
             {
                CloseHandle(hSnapThread);
 
                return te.th32ThreadID;
             }
          } while (Thread32Next(hSnapThread, &te));
       }
 
       CloseHandle(hSnapThread);
 
       return 0;
    }
    #define ADDRESSTOHOOK 0x7FF73FB32B7B
 
    void ContextHandler(Context_t* C, EXCEPTION_POINTERS* E)
    {
       MessageBoxA(0, "BPHIT", "BPHIT BPHIT", 0);
       if (!C || !E)
          return;
 
       switch (E->ContextRecord->Rip)
       {
       case ADDRESSTOHOOK:
       {
 
          MessageBoxA(0, "BPHIT", "BPHIT BPHIT", 0);
          E->ContextRecord->Rax = 1;
          //GLogging.AddToLogFileA("hook.log", "BP HIT");
 
          break;
       }
       }
    }
    void Initialize3Context()
    {
       Context_t C;
 
       C.Hook1 = ADDRESSTOHOOK;
       if (GContextHook.InitiateContext(ContextHandler, &C))
       {
          MessageBoxA(0, "", "HOOKED SUCCESS", 0);
       }
       else
       {
          MessageBoxA(0, "", "FAILURE ", 0);
       }
    }
 
 
    HANDLE CContextHook::GetMainThread(void)
    {
       DWORD ProcessId = GetCurrentProcessId();
       DWORD ProcessThreadId = GetProcessThreadId(ProcessId);
       return OpenThread(THREAD_GET_CONTEXT | THREAD_SET_CONTEXT | THREAD_SUSPEND_RESUME, TRUE, ProcessThreadId);
    }
 
 
          BOOL WINAPI DllMain(HINSTANCE hModule, DWORD dwReason, LPVOID lpReserved) {
             switch (dwReason) {
             case DLL_PROCESS_ATTACH:
                CreateThread(0, 0, (LPTHREAD_START_ROUTINE)Initialize3Context, 0, 0, 0);
                break;
             }
 
             return TRUE;
          }

dll.h

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
 
#include <windows.h>
    #include <Psapi.h>
    #include <Tlhelp32.h>
 
    #pragma comment( lib, "Psapi" )
 
    #ifndef _CCONTEXTHOOK_H_
    #define _CCONTEXTHOOK_H_
 
    typedef struct {
    	unsigned long Hook1;
    	unsigned long Hook2;
    	unsigned long Hook3;
    	unsigned long Hook4;
    } Context_t;
 
    typedef void (__cdecl *Handler_t)( Context_t *C, EXCEPTION_POINTERS *E );
 
    class CContextHook
    {
    public:
 
    	bool		InitiateContext( Handler_t ContextHandler, Context_t *C );
    	bool		ClearContext( void );
    	Context_t*	GetContextInfo( void );
    	Handler_t	GetHandlerInfo( void );
 
    private:
 
    	bool	IsReady( unsigned long *H );
    	DWORD	GetProcessThreadId( unsigned long ProcessId );
    	HANDLE	GetMainThread( void );
 
    private:
 
    	Context_t	m_Context;
    	Handler_t	m_Handler;
    	PVOID		m_pHandler;
    };
 
    extern CContextHook GContextHook;
 
    #endif

**Médinoc** · 16/09/2022, 11h42

je n'arrive pas a faire fonctionner

Quels sont les symptômes?

(Note: Je ne suis pas sûr de pouvoir aider, je ne sais pas gérer les Debug Registers)

PS: Je vois quelques endroits où GetMainThread() est appelé et son handle leaké, attention!

**bacelar** · 16/09/2022, 13h40

Des "MessageBox" dans un thread où on sait même pas s'il y a une pompe à message ?
Arrêtez de déboguer à la "print coucou" et utilisez correctement un débogueur.

Des appels à des fonction C, comme "memcpy" sans tester la valeur de retour ? Vraiment ?
"srand" ??? en C++ ???

Pour faire de la programmation système "bas niveau", il faut être bien plus rigoureux.

Et utilisez un débogueur.

**KevinDA** · 16/09/2022, 15h51

J'ai que le premier message HOOKED SUCCESS pour dire qui s'enclenche bien. Après plus rien même a la lecture de l'adresse, rein s'enclenche...

**Médinoc** · 16/09/2022, 17h12

Envoyé par bacelar

Des "MessageBox" dans un thread où on sait même pas s'il y a une pompe à message ?

MessageBox() inclut sa propre pompe à message (mais j'éviterais toutefois de l'utiliser dans un callback que je ne maîtrise pas, de peur de risquer des MessageBox récursives -- de plus, les 0 magiques me font mal aux yeux).

Arrêtez de déboguer à la "print coucou" et utilisez correctement un débogueur.

+1. Et pas seulement les breakpoints: OutputDebugString() ça a beau être du "print coucou" aussi, ça peut vachement aider quand les circonstances (ex: multithreading) rendent les breakpoints peu pratiques.

Des appels à des fonction C, comme "memcpy" sans tester la valeur de retour ? Vraiment ?

Qui teste la valeur de retour de memcpy?? C'est genre, là fonction dont on n'a pas à tester le retour. Elle retourne toujours son premier paramètre, sans exception! (ou si elle crashe, elle ne retourne pas)

"srand" ??? en C++ ???

Franchement vus les headers inclus, et le fait que ce soit de la programmation système "bas niveau", c'est plus du C avec des morceaux de C++ saupoudrés dessus que du C++.

Et puis, les RNG C++ c'est C++11 non? C'est "récent" (non plus vraiment mais à une époque c'est ce que j'aurais dit

)

Pour faire de la programmation système "bas niveau", il faut être bien plus rigoureux.
Et utilisez un débogueur.

Là, je te rejoins.

**Médinoc** · 16/09/2022, 17h17

Attention:

Code suspect :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
       Context_t C;
 
       C.Hook1 = ADDRESSTOHOOK;
       if (GContextHook.InitiateContext(ContextHandler, &C))

Context_t n'a pas de constructeur ou destructeur déclaré et tous ses membres sont de types simples: C'est donc une structure POD (Plain Old Data), ce qui fait qu'elle n'est pas initialisée à zéro quand elle est déclarée ainsi! Il va falloir le faire explicitement.

Code compatible avec vieux compilos :

Sélectionner tout - Visualiser dans une fenêtre à part

       Context_t C = {0,0,0,0};

Code C++11 :

Sélectionner tout - Visualiser dans une fenêtre à part

       auto C = Context_t(); //Appel explicite, cause l'initialisation à zéro

**bacelar** · 16/09/2022, 18h02

Ligne 160 à 164, non multi-thread safe. (Pourquoi "Thread32First" retournerait en premier le "MainThread" ?)

@Médinoc, OK, pour toutes tes remarques.

MessageBox, OK, mais il y a tellement de cas qui fait merder ce truc en plus d'une éventuelle récursivité (chargement en Service, ....).
OutputDebugString(), tellement supérieur à "MessageBox", mais le débogueur est tellement aussi notre ami (Ainsi que les MACRO qui utilisent OutputDebugString en sous-main.
memcpy, mon habitude défensive quand je fais du C, toujours checker même avec une MACRO qui ne fera que vérifier que la valeur de retour est bien le premier argument.

Et puis, les RNG C++ c'est C++11 non?

Ok, mais bon, il fait du multi-thread et appeler une primitive C qui a pour périmètre tout le processus, c'est très casse-gueule.

En résumé :
utilisez un débogueur.

DLL hardware breakpoint problème ?

C++

Vue hybride

Discussions similaires

Partager

Partager