WSOCK32.DLL 攔截與 Hook 技術實戰：函數指標表重導向完整原始碼解析

Hook 原理：DLL 導入表重寫 / 函數指標表替換

本範例展示使用者模式 Hook核心技術：建立一個同名 WSOCK32.DLL (或透過 AppInit_DLLs、KnownDLLs、IAT Hook 注入)，在 DllMain 中：

1. 載入真正的 WSOCK32.DLL (LoadLibrary)。
2. 取得所有導出函數真實位址 (GetProcAddress) 存入函數指標陣列。
3. 導出同名函數，內部：記錄日誌 → 呼叫真實函數 → 返回結果。

完整原始碼結構解析

1. 全域變數與函數指標宣告

#include 
#include 

void abc(char *p) { FILE *fp=fopen("c:\\z.txt","a+"); fprintf(fp,"%s",p); fclose(fp); } // 日誌函數

HMODULE g_hRealWsock32 = NULL; // 真實 WSOCK32 模組句柄

// 為每個導出函數宣告函數指標型別與變數
int (__stdcall *p_accept)(SOCKET, struct sockaddr*, int*);
int (__stdcall *p_bind)(SOCKET, const struct sockaddr*, int);
// ... 共 40+ 個函數指標 (見下表)

2. 核心導出函數範本

// 範例：accept Hook
int __stdcall accept(SOCKET s, struct sockaddr* addr, int* addrlen)
{
    abc("accept called\n"); // 記錄
    if (p_accept) return p_accept(s, addr, addrlen); // 呼叫真實函數
    return SOCKET_ERROR;
}

// 範例：send Hook (可檢查/修改資料)
int __stdcall send(SOCKET s, const char* buf, int len, int flags)
{
    char log[256];
    sprintf_s(log, "send: socket=%u, len=%d, data=%.50s\n", s, len, buf);
    abc(log);
    return p_send ? p_send(s, buf, len, flags) : SOCKET_ERROR;
}

3. DllMain 初始化邏輯

BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason, LPVOID lpReserved)
{
    if (ul_reason == DLL_PROCESS_ATTACH) {
        DisableThreadLibraryCalls(hModule);
        // 1. 載入真實 WSOCK32 (系統目錄)
        char sysPath[MAX_PATH];
        GetSystemDirectoryA(sysPath, MAX_PATH);
        strcat_s(sysPath, "\\wsock32.dll");
        g_hRealWsock32 = LoadLibraryA(sysPath);
        if (!g_hRealWsock32) return FALSE;

        // 2. 解析所有導出函數位址
        p_accept = (decltype(p_accept))GetProcAddress(g_hRealWsock32, "accept");
        p_bind = (decltype(p_bind))GetProcAddress(g_hRealWsock32, "bind");
        // ... 逐一解析 40+ 函數
    }
    else if (ul_reason == DLL_PROCESS_DETACH) {
        if (g_hRealWsock32) FreeLibrary(g_hRealWsock32);
    }
    return TRUE;
}

完整函數指標對照表 (節選)

進階 Hook 技術對比

安全與相容性警示

• KnownDLLs 機制：Windows 將 wsock32.dll 列入 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs，系統載入器會強制從 System32 載入，同名 DLL 放在應用目錄不會生效。需用 IAT Hook 或 AppInit_DLLs (需註冊表權限、影響全系統)。
• x64 系統：wsock32.dll 為 32-bit 兼容層，64-bit 程式直接使用 ws2_32.dll。Hook 需分別處理。
• 簽名驅動/保護進程：受保護進程 (PPL)、HVCI 環境下用戶模式 Hook 會被阻擋。
• 多執行緒安全：初始化階段需鎖定，函數指標寫入需 InterlockedExchangePointer。

現代替代方案

• Windows Filtering Platform (WFP)：核心層網路過濾/記錄，官方支援、效能高、無 Hook 風險。
• ETW (Event Tracing for Windows)：Microsoft-Windows-Winsock 提供者，零侵入式追蹤 Socket 操作。
• Detours / MinHook：若必須 Hook，使用成熟庫而非手寫組裝指令。

總結

本範例展示經典的 DLL Proxy Hook 技術：透過函數指標表轉發實現 WSOCK32.DLL 全函數攔截。理解其初始化流程、函數指標型別對應、轉發邏輯、KnownDLLs 限制、現代替代方案，能幫助您在除錯、監控、安全分析等場景選擇最適合的技術路徑。