winapi - Windows : How to intercept Win32 disk I/O API

Question

在 Windows 上，所有磁盘 I/O 最终都是通过 Win32 API 调用(例如 CreateFile、SetFilePointer 等)发生的。

现在，是否可以拦截这些磁盘 I/O Win32 调用，并在运行时为所有动态链接的 Windows 应用程序 Hook 您自己的代码？也就是说，应用程序通过 Windows DLL 而不是静态 C 库获取其 CreateFile 功能。

我的一些限制是:

1. 没有源代码:我没有要拦截的进程的源代码。

2. 线程安全:我的钩子(Hook)代码可能会动态分配自己的内存。此外，因为该内存将与多个被拦截的进程(及其线程)共享，所以我希望能够序列化对其的访问。

3. 条件委托(delegate)和覆盖:在我的 Hook 代码中，我希望能够决定是委托(delegate)给原始 Win32 API 功能，还是使用我自己的功能，或两者兼而有之。 (很像 C++ 或 Java 中子类的重写方法中对父类(super class)方法的可选调用。)

4. 常规用户空间代码:我希望能够在不编写任何设备驱动程序的情况下完成上述任务，这主要是由于编写设备驱动程序所涉及的复杂性。

如果这是可能的，我将不胜感激一些指示。源代码不是必需的，但总是受欢迎的!

Answer 1

您可能想查看mhook如果 Detours 不是您想要的。

以下是使用钩子(Hook)时可能遇到的一些问题:

• ASLR can prevent injected code from intercepting the intended calls.
• 如果您的 Hook 是全局的(例如使用 AppInit_DLL)，则加载 DLL 时只有 Kernel32.dll 和 User32.dll 可用。如果您想定位这些模块之外的功能，you'll need to manually make sure they're available.