参考：https://github.com/TsudaKageyu/minhook
minhook是windows平台上支持x86/x64的hook库，git上的自我介绍说是“mininalistic",其简约并不简单。在接口的设计，hook的兼容性等方面，还是值得我们初学者解决的。熟悉inline hook的，在阅读了minhook的代码之后就会发现，它也是用的这种hook方法。其核心原理就是对目标函数的某个位置（通常是在开头）的二进制指令进行修改，使得我们的逻辑处理代码有机会得到执行。
下面以KERNELBASE.dll模块中的CreateFileA函数为例，通过minhook来hook的步骤如下：
void testhook()
{
MH_STATUS status = MH_OK;
//初始化minhook
status=MH_Initialize();
if (MH_OK == status)
{
//对KERNELBASE.dll 中的CreateFileA 进行hook
//之后CreateFileA由myCreateFileA接管,进行逻辑处理
//调用原始的目标函数CreateFileA
status=MH_CreateHookApi(L"KERNELBASE.dll", "CreateFileA", myCreateFileA, (PVOID)&oriCreateFileA);
if (MH_OK == status)
{
printf("hook entry is created,ppOriginal:0x%p!\n",oriCreateFileA);
//将hook项入队等待生效
status = MH_QueueEnableHook(MH_ALL_HOOKS);
if (MH_OK == status)
{
//安装钩子
//实际上就是将目标函数的代码指令进行修改，来达到hook的目的
status = MH_EnableHook(MH_ALL_HOOKS);
if (MH_OK == status)
{
printf("[***]hook entry is enabled!\n");
}
else
{
printf("enable hook fails,staus:%d\n", status);
}
}
else
{
printf("queue enable hook fails,status:%d\n", status);
}
}
}
//释放minhook
//MH_Uninitialize()
}从上面的代码看，我们只需要准备一个detour函数来接管目标函数，其他的都由minhook来完成了。在成功对CreateFileA安装钩子之后，可以在myCreateFileA中添加一些逻辑处理。比如说，可以记录当前进程中通过CreateFileA访问了哪些文件；或者，对文件名进行过滤，假如是打开”plan.txt",直接返回无效句柄，不调用原始函数。
下面看一下hook 函数CreateFileA反汇编的变化：
hook前
hook后
通过对比可以发现，CreateFileA的反汇编指令被修改，由原来的"mov qword ptr [rsp+8],rbx"变为“jmp 00007fff`05f70fd3"。0x7fff`05f70fd3对应的就是detour函数myCreateFileA。还有一个函数地址ppOriginal,它的反汇编代码如下：
看着有点眼熟，前面的一条指令就是在hook过程中被修改的5个字节；紧接着是一个jmp指令，但是跳转的地址看起来有点不对，实际上是反汇编引擎解析有误，从源码中可以知道这里实际上是跳转到一个绝对地址（0xff,0x25,0x000000,0x7fff05fa4175)，也就是CreateFileA第二条指令开始的地方(0x7fff05fa4175)。
在对minhook进行测试的时候发现一个问题，ppOriginal变量在minhook释放之后没有进行清零，这会导致在多线程的情况下产生非法访问。
总的来说还是好用的。
