编译 EasyHook 32-bit/64-bit 静态库 Lib

EasyHook 是 Windows 平台下开源的 APIHOOK 工具库，因其开源有 64 位版本而注广为流传，微软也有提供 64 位 APIHOOK 的代码，但是要收费的。最近公司让我做一个 HOOK 的名单功能，顺便就研究了一下 EasyHook 的静态库编译和使用，也弥补一下曾经再这方面耗费的心血。下图是 HOOK 成功后 DebugView 的输出。

配置 EasyHook 静态库编译环境

首先去官方下载 EasyHook 源代码到本地，使用 VS2015 打开项目（目前官方是 VS2013 编译的，最低不能低于 VS2010 SP1，因为官方最新代码中引入了 C99 标准，VS2008 以下版本缺少很多头文件无法编译通过）。

打开项目后，删除掉一些无用的C#项目代码和一些文档，只保留一个 EasyHookDll 的项目，如下图：

删除所有无用的文件夹，只保留下图几个文件夹（看你自己需要，这里不删除后面编译的时候会因为项目关联问题导致编译不过去，最好是删除掉）

打开 EasyHookDll 目录。复制 EasyHookDll.vcxproj 文件和 EasyHookDll.vcxproj.filters 文件，改名为 EasyHookLib.vcxproj 和 EasyHookLib.vcxproj.filters，如下图：

把复制后的 EasyHookLib.vcxproj 添加到项目中：

添加到项目后，在 VS 视图中，打开“属性管理器”视图：

切换到属性管理器窗口，删除所有 netfx4 的配置：

然后删除所有 netfx3.5 的名称前缀：

最后效果如下：

接下来，修改配置属性，打开配置管理器：

点击活动解决方案管配置的下拉菜单->编辑选项，删除所有 netfx4 的配置，并将 netfx3.5 配置的前缀去掉，修改后的效果如下：

这样最终就只剩下 Debug 和 Release 版本的，没有那么多无用的配置选项了。随后再点开“活动解决方案的”的下拉菜单，删除 AnyCPU 的选项。如下图：

修改完配置后，点击 EasyHookLib 的项目右键->属性->常规，由原来的 Dll 修改为 Lib 库，如下图（注意红框的位置，将所有配置所有平台下都修改了）：

然后切换到 C/C++->预处理器选项中，将每一个配置下的“预处理器定义”中的 EASYHOOK_EXPORTS 删除，由于每种配置下这个属性不同，所以不能像之前一样，选所有配置一下都修改了，只能一个一个的修改。其实现在只有 Debug 和 Release 两个配置了，改起来也不麻烦。

切换到生成事件->后期生成事件选项卡中，删除所有配置下的所有平台中的命令行属性（这个选项是在项目生成后执行的批处理命令，主要是拷贝一些文件到指定目录，我们用不到，所以删除）：

切换到库管理器->命令行选项卡中，在 Win32 平台下添加选项 /MACHINE:X86，在 x64 平台下添加选项 /MACHINE:X64，这个属性决定了 Lib 库是多少位的。如下图：

至此所有配置和属性都修改完了，接下来我们要动一下源代码，不然编译后的 Lib 库也是用不了的。打开 Source Files 下的 dllmain.c，将原来的 dllmain 函数：

BOOL APIENTRY DllMain( HMODULE hModule,
        DWORD  ul_reason_for_call,
        LPVOID lpReserved
)

修改为

EXTERN_C BOOL APIENTRY EasyHookDllMain(HMODULE hModule,
    DWORD  ul_reason_for_call,
    LPVOID lpReserved
)

然后打开头文件 easyhook.h。删除如下内容：

#ifdef EASYHOOK_EXPORTS
    #define EASYHOOK_API                        __declspec(dllexport) __stdcall
    #define DRIVER_SHARED_API(type, decl)       EXTERN_C type EASYHOOK_API decl
#else
    #ifndef DRIVER
        #define EASYHOOK_API                    __declspec(dllimport) __stdcall
        #define DRIVER_SHARED_API(type, decl)   EXTERN_C type EASYHOOK_API decl
    #else
        #define EASYHOOK_API                    __stdcall
        #define DRIVER_SHARED_API(type, decl)   typedef type EASYHOOK_API PROC_##decl; EXTERN_C type EASYHOOK_API decl
    #endif
#endif

替换为

#define EASYHOOK_API __stdcall
#define DRIVER_SHARED_API(type, decl) typedef type EASYHOOK_API PROC_##decl; EXTERN_C type EASYHOOK_API decl

此时，编译一下项目，即可编译通过了。

Lib 库的编译先到这里，至于 Lib 库的使用，我写了一个 Example，请大家访问 github 下载源代码自行编译调试：https://github.com/nmgwddj/EasyHook。该项目包含了 32 位和 64 位的 Lib 库，和一个测试项目，HOOK 了 NtCreateFile 函数实现了对文件打开创建等功能的监控。代码中有较为详细的注释，若有不明白的地方，欢迎随时给我留言。

Use the static library

Open the project which will use the generated static library above.

Call EasyHookDllMain in your DllMain.

EASYHOOK_BOOL_EXPORT EasyHookDllMain( HMODULE hModule,
	DWORD  ul_reason_for_call,
	LPVOID lpReserved
	);


BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
					 )
{
	EasyHookDllMain( hModule, ul_reason_for_call, lpReserved);

	switch (ul_reason_for_call)
	{
	case DLL_PROCESS_ATTACH:
	case DLL_THREAD_ATTACH:
	case DLL_THREAD_DETACH:
	case DLL_PROCESS_DETACH:
		break;
	}
	return TRUE;

Link the libraries.

#pragma comment( lib, "EasyHook32.lib") // or EasyHook64.lib, depending on your project
#pragma comment( lib, "Aux_ulib.lib")
#pragma comment( lib, "psapi.lib")

Now try to compile your project, if you get some complication error like

error LNK2026: module unsafe for SAFESEH image

You can try to switch the SAFESEH to NO as bellow