MinHook не хочет хукать Chrome функцию

Отслеживать
IPirateS6

IPirateS6

(L3) cache
Пользователь
Регистрация
02.06.2020
Сообщения
211
Реакции
107
Приветствую. Пытаюсь написать вебинжекты для Google Chrome, за основу беру NetRipper и для хука юзаю MinHook. По сигнатурке нахожу адреса SSL_Read, SSL_Write. Инициализирую Minhook, вызываю MH_CreateHook и собственно MH_EnableHook. Все функции MinHook возвращают MH_OK. Краша не происходит. ВПРОЧЕМ КАК И ХУКА. Сравнивал адреса SSL_Read/SSL_Write у себя и у NetRipper - оказались идентичными. В чём проблема, никто не в курсе?
C++: 
typedef int (*SSL_Write_Typedef)(void*, void*, int);
typedef int (*SSL_Read_Typedef)(void*, void*, int);

SSL_Write_Typedef SSL_Write_Original;
SSL_Read_Typedef SSL_Read_Original;

int SSL_Write_Callback(void* fd, void* buffer, int amount)
{
 
    MessageBoxA(0, (PCHAR)buffer, 0, 0); //Не появляется меседжбокс этот
    return SSL_Write_Original(fd, buffer, amount);
}

void HookChrome()
{
.. //Упустим моменты поиска по сигнатурке и инициализации MinHook, оно к сабжу отношения не имеет так-то

SSL_Write_Original = (SSL_Write_Typedef)pWrite64; //pWrite64 это адрес SSL_Write в .text
    
// Add hooks
MH_CreateHook((void*)pWrite64, (void*)SSL_Write_Callback, (void**)&SSL_Write_Original);
MH_EnableHook(MH_ALL_HOOKS);
}
 
Алсо, на правах темы об вебинжектах, вопрос к опытным кодерам, которые сумели реализовать непосредственно инжект в Firefox/Chrome (особенно в фф, т.к. в последнее время вижу что дилдо с квейком обсуждали этот вопрос): как вы его реализовали этот инжект? Я собираюсь заинжектить шелкод по RWX (который будет обрабатывать релоки, импорт и вызывать DllMain), потом поменять права на RX и уже потом, как на соседнем форуме упомянул квейк, менять контекст потока чтобы Rip указывал на шк. Это нормальное решение? Вы также делаете?
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Ну я MinHook не юзал, что там внутри не знаю и что там по апи, но первое, что я бы сделал это - вывел первые байты по адрес pWrite64 и посмотрел, прописался ли туда хук. Если прописался, то скорее всего адрес не тот или функция ни разу не была вызвана, если не прописался, то ты что-то напутал в использовании библиотеки MinHook.
 
DildoFagins сказал(а):
Ну я MinHook не юзал, что там внутри не знаю и что там по апи, но первое, что я бы сделал это - вывел первые байты по адрес pWrite64 и посмотрел, прописался ли туда хук. Если прописался, то скорее всего адрес не тот или функция ни разу не была вызвана, если не прописался, то ты что-то напутал в использовании библиотеки MinHook.
Понял, бро, сейчас проверю. А как ты решил вопрос с самим инжектом дллки в фф?
 
Пожалуйста, обратите внимание, что пользователь заблокирован
IPirateS6 сказал(а):
В чём проблема, никто не в курсе?
Вероятнее всего вызов не происходит. Эти функции вызываются, только когда работает протокол https. Проверяй не юзается http/2 или что то другое
 
Exfazo сказал(а):
Вероятнее всего вызов не происходит. Эти функции вызываются, только когда работает протокол https. Проверяй не юзается http/2 или что то другое
DildoFagins сказал(а):
Ну я MinHook не юзал, что там внутри не знаю и что там по апи, но первое, что я бы сделал это - вывел первые байты по адрес pWrite64 и посмотрел, прописался ли туда хук. Если прописался, то скорее всего адрес не тот или функция ни разу не была вызвана, если не прописался, то ты что-то напутал в использовании библиотеки MinHook.
Чекнул, хук происходит, первые байты до и первые байты после функции которая хукнулась разные. Хром стартую через cmd -> start chrome.exe --disable-http2 --use-spdy=off --disable-quic
 
Пожалуйста, обратите внимание, что пользователь заблокирован
IPirateS6 сказал(а):
Чекнул, хук происходит, первые байты до и первые байты после функции которая хукнулась разные. Хром стартую через cmd -> start chrome.exe --disable-http2 --use-spdy=off --disable-quic
Ну значит, что либо функция не вызывалась, либо это неверный адрес функции. Ты запрашиваешь именно HTTPS на тестах (SSL/TLS для HTTP не нужон)?
 
Пожалуйста, обратите внимание, что пользователь заблокирован
IPirateS6 сказал(а):
Чекнул, хук происходит, первые байты до и первые байты после функции которая хукнулась разные. Хром стартую через cmd -> start chrome.exe --disable-http2 --use-spdy=off --disable-quic
Значит функции ssl_read/write не вызываются. Я уже точно не помню, но эта функция вроде как с 8x-ых версий не вызывается. Смутно помню, как я решал эту проблему, т.к год-два точно прошли
 
DildoFagins сказал(а):
Ну значит, что либо функция не вызывалась, либо это неверный адрес функции. Ты запрашиваешь именно HTTPS на тестах (SSL/TLS для HTTP не нужон)?
Exfazo сказал(а):
Значит функции ssl_read/write не вызываются. Я уже точно не помню, но эта функция вроде как с 8x-ых версий не вызывается. Смутно помню, как я решал эту проблему, т.к год-два точно прошли
Да вызывается, ведь делаю то же самое но в проекте с NetRipper, и всё работает. Делаю то же в своём проекте, хром не хукается. Зато фф и IE хукаются
 
Может ты не в том процессе хукаешь, у хромоподобных сетевое взаимодействие идёт через процесс с параметром "--utility-sub-type=network.mojom.NetworkService"
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Apocalypse сказал(а):
Может ты не в том процессе хукаешь, у хромоподобных сетевое взаимодействие идёт через процесс с параметром "--utility-sub-type=network.mojom.NetworkService
Кстати да, для каждой вкладки может быть порожден дочерний процесс.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Я не инжектил дллку в ФФ, надо будет тестануть, а просто писал ШК; теоретически, можно заинжектить шеллкод и из него уже грузить длл или что там нужно.
просто там есть анти инжект, который лечится например так, как я писал на экспе - правкой context->Rip потока.
 
Quake3 сказал(а):
Я не инжектил дллку в ФФ, надо будет тестануть, а просто писал ШК; теоретически, можно заинжектить шеллкод и из него уже грузить длл или что там нужно.
просто там есть анти инжект, который лечится например так, как я писал на экспе - правкой context->Rip потока.
Понял, спасибо за ответ, опробую инжект дллки твоим методом после того как решу вопрос с хромом :D.
 
Apocalypse сказал(а):
Может ты не в том процессе хукаешь, у хромоподобных сетевое взаимодействие идёт через процесс с параметром "--utility-sub-type=network.mojom.NetworkService"
DildoFagins сказал(а):
Кстати да, для каждой вкладки может быть порожден дочерний процесс.
Я инжекчу во все процессы с именем chrome.exe.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
IPirateS6 сказал(а):
Я инжекчу во все процессы с именем chrome.exe
Еще две гипотезы. Первая: buffer слишком длинная строка, или содержит непечатаемые символы, или отсуствует '\0' в конце буффера, поэтому мессаджбокс не отображается. Вторая: перехват в low integrity level процессе и мессаджбоксы оконной подсистеме пользователя не доступны, хотя это вряд ли, наверное. Попробуй заменить на OutputDebugString штоле и посмотреть через dbgview.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
DildoFagins сказал(а):
Вторая: перехват в low integrity level процессе и мессаджбоксы оконной подсистеме пользователя не доступны, хотя это вряд ли, наверное.
в Low доступны мессаджебоксы, мб в untrusted нет (а хром вроде имеет и такие процессы), лень тестить;
 
IPirateS6 сказал(а):
Приветствую. Пытаюсь написать вебинжекты для Google Chrome, за основу беру NetRipper и для хука юзаю MinHook. По сигнатурке нахожу адреса SSL_Read, SSL_Write. Инициализирую Minhook, вызываю MH_CreateHook и собственно MH_EnableHook. Все функции MinHook возвращают MH_OK. Краша не происходит. ВПРОЧЕМ КАК И ХУКА. Сравнивал адреса SSL_Read/SSL_Write у себя и у NetRipper - оказались идентичными. В чём проблема, никто не в курсе?
C++: 
typedef int (*SSL_Write_Typedef)(void*, void*, int);
typedef int (*SSL_Read_Typedef)(void*, void*, int);

SSL_Write_Typedef SSL_Write_Original;
SSL_Read_Typedef SSL_Read_Original;

int SSL_Write_Callback(void* fd, void* buffer, int amount)
{
 
    MessageBoxA(0, (PCHAR)buffer, 0, 0); //Не появляется меседжбокс этот
    return SSL_Write_Original(fd, buffer, amount);
}

void HookChrome()
{
.. //Упустим моменты поиска по сигнатурке и инициализации MinHook, оно к сабжу отношения не имеет так-то

SSL_Write_Original = (SSL_Write_Typedef)pWrite64; //pWrite64 это адрес SSL_Write в .text
   
// Add hooks
MH_CreateHook((void*)pWrite64, (void*)SSL_Write_Callback, (void**)&SSL_Write_Original);
MH_EnableHook(MH_ALL_HOOKS);
}

why not simply use FIDDLERCORE ? it will work for all browsers ! and is simple to use ! please check it here ! https://www.telerik.com/fiddlercore
 
Пожалуйста, обратите внимание, что пользователь заблокирован
whobornin1990 сказал(а):
why not simply use FIDDLERCORE ?
ТС на С++ пишет, но вообще да. Мне тоже больше нравится проксификация браузера, чем хуки функций.
Но там будут проблемы с другим, например сертификаты.
 
Quake3 сказал(а):
ТС на С++ пишет, но вообще да. Мне тоже больше нравится проксификация браузера, чем хуки функций.
Но там будут проблемы с другим, например сертификаты.
Если есть права локального администратора, можно серт в доверенные добавить в случае с хромом. Фф с сертами не через винапи работает, с его хранилищем нужно по другому взаимодействовать.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх