.NET / CLR関数のインターセプト

1. ターゲット関数は静的です-ロードされたモジュールのメモリにすぐに存在します;
   
   
2. ターゲット関数のアドレスは簡単に判別できます（モジュールエクスポートテーブルまたはGetProcAddress関数を使用）。
   
   

1. CLRのメソッド呼び出しメソッド

1. MethodDesc構造によって識別されるメソッドのJITコンパイル。
2. MethodDesc構造体のポインターを、生成されたネイティブコードに設定します。
3. 生成されたネイティブコードへの無条件ジャンプ（jmp）を行うようにアダプターを書き換えます。
   
   
4. 生成されたネイティブコードの実行。

2. CLRアダプターのプリコード

1. StubPrecode 。 作成の時点で、 MethodDesc構造体のアドレスの値は、CLRシステムによって指定されたアダプターに直接埋め込まれます（ アセンブラーコマンドの直接値として）。 アダプタコードはハードウェアプラットフォームのみに依存し、CLRバージョンには依存しません。 さまざまなハードウェアプラットフォームの場合、次の形式になります。
   
   

   x86: mov eax, pMethodDesc mov ebp, ebp jmp ThePreStub x64: mov r10, pMethodDesc jmp ThePreStub
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   したがって、 MethodDesc構造体のアドレスは、eaxレジスタ（x86の場合）またはr10（x64の場合）のThePreStub関数に渡されます。 メモリの分析中、プロセッサの容量を考慮して、指定されたアドレスをアダプタのオフセット1（x86の場合）または2（x64の場合）で明確に読み取ることができます。 ThePreStub関数のアドレスは、最後のjmpコマンドに組み込まれた相対オフセットに、指定されたコマンドの完了アドレスを追加することで計算できます。
   
   
   
   JITのコンパイルが完了すると、遷移アドレスはThePreStub関数のアドレスから生成されたコードのアドレスに置き換えられ、アダプターの内容は次のようになります。
   
   

    x86: mov eax, pMethodDesc mov ebp, ebp jmp NativeCode x64: mov r10, pMethodDesc jmp NativeCode
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   JITコンパイル後に生成されたコードのアドレスを決定する方法は、JITコンパイル前にThePreStub関数のアドレスを決定する方法と同じです。
   
   
   
   
2. FixupPrecode 指定されたアダプターは、メモリー使用量を最適化するように設計されています。 すべてのハードウェアプラットフォームで8バイトかかります。これは、 StubPrecodeアダプターのサイズ（x86の場合は12バイト、x64の場合は16バイト）よりも小さくなります。 すべてのハードウェアプラットフォームとCLRバージョンのアダプターコードは次のとおりです。
   
   
   
   

     call PrecodeFixupThunk db 0x5E db MethodDescChunkIndex db PrecodeChunkIndex  call PrecodeFixupThunk db 0x db MethodDescChunkIndex db PrecodeChunkIndex
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   FixupPrecodeアダプターを使用する場合、 CLRは次の2つの要件に準拠します。
   
   
   
   
   1. アダプタ固有のMethodDesc構造は 、連続したMethodDescChunkメモリブロックに結合されます 。
      
      
      
      
   2. FixupPrecode-adaptersも連続したメモリブロックに結合され、示されたブロックでは、アダプターの終了後、CLRシステムはMethodDescChunkメモリブロックに MethodDesc構造のベースアドレスpMethodDescChunkBaseを埋め込みます 。
      
      
      
      

       call PrecodeFixupThunk db ? db MethodDescChunkIndex db PrecodeChunkIndex ... call PrecodeFixupThunk db ? db MethodDescChunkIndex db 2 call PrecodeFixupThunk db ? db MethodDescChunkIndex db 1 call PrecodeFixupThunk db ? db MethodDescChunkIndex db 0 dd pMethodDescChunkBase (x86) dq pMethodDescChunkBase (x64)
            
            
      
              
              
              
            
      
          
              
              
              
            
            
      
              
              
              
            
      
          
           

      
      
      
   
   
   このメモリ構成では、特定のFixupPrecodeアダプターのMethodDesc構造体のアドレスは、次の式を使用して指定されます。
   
   
   
   アドレスMethodDesc = pMethodDescChunkBase + MethodDescChunkIndex * sizeof（void *）、
   
   
   
   ここで、ベースオフセット（ pMethodDescChunkBase ）は次のアドレスで取得されます。
   
   
   
   pMethodDescChunkBaseアドレス= FixupPrecodeアドレス+ 8 + PrecodeChunkIndex * 8
   
   
   
   およびMethodDescChunkIndexとPrecodeChunkIndexは、 PrecodeFixupThunkに埋め込まれたバイト値です 。
   
   
   
   CLRによるMethodDesc構造体のアドレスの値は、単数形に存在するオプションのアダプターPrecodeFixupThunk内で計算され、指定されたアドレスを計算してeax（x86）またはr10（x64）レジスタのThePreStubに渡すことのみを目的としています。 さまざまなハードウェアプラットフォーム用のPrecodeFixupThunkアダプターのコードを次に示します。
   
   

    x86: pop eax push esi push edi movzx esi, byte ptr [eax + 0x2] movzx edi, byte ptr [eax + 0x1] mov eax, dword ptr [eax + esi * 8 + 0x3] lea eax, [eax + edi * 4] pop edi pop esi jmp dword ptr [g_dwPreStubAddr] ( CLR 2.0) jmp ThePreStub ( CLR 4.0  ) x64: pop rax movzx r10, byte ptr [rax + 0x2] movzx r11, byte ptr [rax + 0x1] mov rax, qword ptr [rax + r10 * 8 + 0x3] lea r10, [rax + r11 * 8] jmp ThePreStub
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   FixupPrecodeアダプターを使用するThePreStub内部関数のアドレスは、2段階で計算できます。
   
   
   
   
   1. 呼び出しFixupPrecode-アダプターの最初のコマンドに組み込まれた相対オフセットを、指定されたコマンドの完了アドレスに追加することにより、 PrecodeFixupThunkアダプターのアドレスを計算します。
      
      
   2. CLR 2.0 x86を除くすべてのプラットフォームで、指定されたコマンドの完了アドレスを使用して、 PrecodeFixupThunkアダプターの最後のjmpコマンドに組み込まれた相対オフセットを追加することにより、 ThePreStubアドレスを計算します。
      
      
   3. CLR 2.0 x86プラットフォームの場合、 ThePreStubアドレスを最後のjmpコマンドに組み込まれているアドレスに抽出します（内部変数g_dwPreStubAddrを介した間接アドレス指定）。
      
      
   
   
   
   
   FixupPrecodeアダプターでのJITコンパイルの完了後、最初の呼び出しコマンドがjmpコマンドに置き換えられ、 PrecodeFixupThunkアダプターのアドレスから生成されたコードのアドレスへの遷移アドレスが置き換えられます。 さらに、最初のコマンドの後にバイト0x5Eが続く場合、それはバイト0x5Fに置き換えられます（示されたバイトはJITコンパイルの有無のインジケータであり、バイト0xCCは情報がないことを意味します）。 したがって、交換後のアダプターの内容は次のとおりです。
   
   
   
   

     jmp NativeCode db 0x5E db MethodDescChunkIndex db PrecodeChunkIndex  jmp NativeCode db 0x db MethodDescChunkIndex db PrecodeChunkIndex
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   JITのコンパイル後、生成されたコードのアドレスは、指定されたコマンドの完了アドレスに最初のjmpコマンドに組み込まれた相対オフセットを追加することにより計算されます。
   
   
   
   
3. RemotingPrecode 。 指定したアダプターは、別のアプリケーションドメインに存在する可能性のあるオブジェクトのメソッドを呼び出すときに使用されます。 アダプタコードは次のとおりです。
   
   

    x86: mov eax, pMethodDesc nop call PrecodeRemotingThunk jmp ThePreStub x64: test rcx,rcx je Local mov rax, qword ptr [rcx] mov r10, ProxyAddress cmp rax, r10 je Remote Local: mov rax, ThePreStub jmp rax Remote: mov r10, pMethodDesc mov rax, RemotingCheck jmp rax
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   StubPrecodeアダプターと同様に、 RemotingPrecodeでの作成時に、 MethodDesc構造体のアドレスの値は、CLRシステムによって直接（ アセンブラーコマンドの直接値として）埋め込まれます。 指定した値は、オフセット1（x86の場合）および37（x64の場合）で抽出できます。 ThePreStub関数のアドレスは、最後のjmpコマンドに組み込まれた相対オフセットに、指定されたコマンドの完了アドレス（x86の場合）または直接オフセット値25（x64の場合）を追加した結果です。
   
   
   
   他のドメインに属さないオブジェクトの場合、JITコンパイルが完了した後、遷移アドレスはThePreStub関数のアドレスから生成されたコードのアドレスに変更されるため、JITコンパイル後に生成されたコードのアドレスを決定する方法は、JITコンパイル前にThePreStub関数のアドレスを決定する方法と同じです。 他のドメインに属するオブジェクトの場合、JITコンパイル後、 RemotingPrecodeアダプターの本体は変更されません。 簡単にするために、アプリケーションドメインに属さないオブジェクトに対してRemotingPrecodeを使用するオプションは考慮しません。
   
   

3. PreStub関数

1. MethodDesc構造によって識別されるメソッドのJITコンパイル。
2. MethodDesc構造体のポインターを、生成されたネイティブコードに設定します。
3. 生成されたネイティブコードへの無条件ジャンプ（jmp）を行うようにアダプターを書き換えます。
4. 生成されたネイティブコードの実行。

 CLR 4.6  : push r15 push r14 push r13 push r12 push rbp push rbx push rsi push rdi sub rsp,68h mov qword ptr [rsp+0B0h],rcx mov qword ptr [rsp+0B8h],rdx mov qword ptr [rsp+0C0h],r8 mov qword ptr [rsp+0C8h],r9 movdqa xmmword ptr [rsp+ 20h],xmm0 movdqa xmmword ptr [rsp+ 30h],xmm1 movdqa xmmword ptr [rsp+ 40h],xmm2 movdqa xmmword ptr [rsp+ 50h],xmm3 lea rcx,[rsp+68h] mov rdx,r10 call PreStubWorker movdqa xmm0,xmmword ptr [rsp+20h] movdqa xmm1,xmmword ptr [rsp+ 30h] movdqa xmm2,xmmword ptr [rsp+ 40h] movdqa xmm3,xmmword ptr [rsp+ 50h] mov rcx,qword ptr [rsp+0B0h] mov rdx,qword ptr [rsp+0B8h] mov r8,qword ptr [rsp+0C0h] mov r9,qword ptr [rsp+0C8h] add rsp,68h pop rdi pop rsi pop rbx pop rbp pop r12 pop r13 pop r14 pop r15 jmp rax CLR 4.0: lea rax, [rsp + 0x08] push r10 push r15 push r14 push r13 push r12 push rbp push rbx push rsi push rdi push rax sub rsp, 0x78 mov qword ptr [rsp + 0xD0], rcx mov qword ptr [rsp + 0xD8], rdx mov qword ptr [rsp + 0xE0], r8 mov qword ptr [rsp + 0xE8], r9 movdqa xmmword ptr [rsp + 0x20], xmm0 movdqa xmmword ptr [rsp + 0x30], xmm1 movdqa xmmword ptr [rsp + 0x40], xmm2 movdqa xmmword ptr [rsp + 0x50], xmm3 lea rcx, qword ptr [rsp + 0x68] call PreStubWorker movdqa xmm0, xmmword ptr [rsp + 0x20] movdqa xmm1, xmmword ptr [rsp + 0x30] movdqa xmm2, xmmword ptr [rsp + 0x40] movdqa xmm3, xmmword ptr [rsp + 0x50] mov rcx, qword ptr [rsp + 0xD0] mov rdx, qword ptr [rsp + 0xD8] mov r8 , qword ptr [rsp + 0xE0] mov r9 , qword ptr [rsp + 0xE8] nop add rsp, 0x80 pop rdi pop rsi pop rbx pop rbp pop r12 pop r13 pop r14 pop r15 pop r10 jmp rax CLR 2.0: lea rax, [rsp + 0x08] push r10 push r15 push r14 push r13 push r12 push rbp push rbx push rsi push rdi push rax sub rsp, 0x78 mov qword ptr [rsp + 0xD0], rcx mov qword ptr [rsp + 0xD8], rdx mov qword ptr [rsp + 0xE0], r8 mov qword ptr [rsp + 0xE8], r9 movdqa xmmword ptr [rsp + 0x20], xmm0 movdqa xmmword ptr [rsp + 0x30], xmm1 movdqa xmmword ptr [rsp + 0x40], xmm2 movdqa xmmword ptr [rsp + 0x50], xmm3 call PrestubMethodFrame::GetMethodFrameVPtr mov qword ptr [rsp + 0x68], rax mov rax, qword ptr [s_gsCookie] mov qword ptr [rsp + 0x60], rax call GetThread mov r12, rax mov rdx, qword ptr [r12 + 0x10] mov qword ptr [rsp + 0x70], rdx lea rcx, [rsp + 0x68] mov qword ptr [r12 + 0x10], rcx call PreStubWorker mov rcx, qword ptr [r12 + 0x10] mov rdx, qword ptr [rcx + 0x08] mov qword ptr [r12 + 0x10], rdx movdqa xmm0, xmmword ptr [rsp + 0x20] movdqa xmm1, xmmword ptr [rsp + 0x30] movdqa xmm2, xmmword ptr [rsp + 0x40] movdqa xmm3, xmmword ptr [rsp + 0x50] mov rcx, qword ptr [rsp + 0xD0] mov rdx, qword ptr [rsp + 0xD8] mov r8 , qword ptr [rsp + 0xE0] mov r9 , qword ptr [rsp + 0xE8] nop add rsp, 0x80 pop rdi pop rsi pop rbx pop rbp pop r12 pop r13 pop r14 pop r15 pop r10 jmp rax
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 CLR 4.6  : push ebp mov ebp,esp push ebx push esi push edi push ecx push edx mov esi,esp push eax push esi call PreStubWorker pop edx pop ecx pop edi pop esi pop ebx pop ebp jmp eax CLR 4.0: push ebp mov ebp, esp push ebx push esi push edi push ecx push edx push eax sub esp, 0x0C lea esi, [esp + 0x04] push esi call PreStubWorker add esp, 0x10 pop edx pop ecx pop edi pop esi pop ebx pop ebp jmp eax CLR 2.0: push eax push edx push PrestubMethodFrame::'vftable' push ebp push ebx push esi push edi lea esi, [esp + 0x10] push dword ptr [esi + 0x0C] push ebp mov ebp, esp push ecx push edx mov ebx, dword ptr fs:0x0E34 mov edi, dworp ptr [ebx + 0x0C] mov dword ptr [esi + 0x04], edi mov dword ptr [ebx + 0x0C], esi push cookie push esi call PreStubWorker mov dword ptr [ebx + 0x0C], edi mov ecx, dword ptr [esi + 0x08] mov dword ptr [esi + 0x08], eax mov eax, ecx add esp, 0x04 pop edx pop ecx mov esp, ebp pop ebp add esp, 0x04 pop edi pop esi pop ebx pop ebp add esp, 0x08 ret
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

1. 任意の静的CLRメソッドを定義し（空にすることもできます）、インライン埋め込みとプリコンパイルを禁止します。
   
   
   
   

    public delegate void EmptyDelegate(); [MethodImplAttribute( MethodImplOptions.NoInlining | MethodImplOptions.NoOptimization)] public static void Empty() {}
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   
2. メモリ内のメソッドのデリゲートを作成してロックし、 RuntimeMethodHandle.GetFunctionPointer関数によって返されるアドレスを定義します。
   
   
   
   

    EmptyDelegate function = Empty; GCHandle gc = GCHandle.Alloc(function); IntPtr methodPtr = function.Method.MethodHandle.GetFunctionPointer();
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   
3. methodPtrのコマンドがサンプルアダプタStubPrecodeに一致する場合、セクション2の段落1からThePreStub関数のアドレスを計算する方法を使用する必要があります。受信アドレスのコマンドがサンプルアダプタFixupPrecodeに一致する場合、セクション2の段落2からThePreStub関数のアドレスを計算する方法を使用する必要があります。
   
   
   
   
4. メソッドのデリゲートのメモリロックをキャンセルするには：
   
   
   
   

    gc.Free();
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   

4. PreStubWorker関数

1. MethodDesc構造によって識別されるメソッドのJITコンパイル。
2. MethodDesc構造体のポインターを、生成されたネイティブコードに設定します。
3. 生成されたネイティブコードへの無条件ジャンプ（jmp）を行うようにアダプターを書き換えます。
4. 変更されたアダプターのアドレスのThePreStub関数を返します。

  CLR 4.6  : void* __stdcall PreStubWorker(TransitionBlock* pTransitionBlock, MethodDesc* pMD);  CLR  4.6: void* __stdcall PreStubWorker(PrestubMethodFrame *pPFrame);
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

1. CLR 4.6（以降）の場合、指定された値は、関数に渡される2番目のパラメーターから抽出されます。
   
   
2. 4.6 x86プラットフォーム未満のCLRの場合、値はpPFrameパラメーターで指定された構造のオフセット8にあります。
   
   
3. 4.6 x64プラットフォームより下のCLRの場合、値はアドレスにあり、 pPFrameパラメーターでアドレス指定された構造体のオフセット16にあるアドレスの値より16バイト少ない。
   
   

1. x86およびx64プラットフォーム（CLR 2.0を除く）の場合、指定されたアドレスは、指定されたコマンドの完了アドレスを使用して、呼び出しコマンドに組み込まれた相対オフセットを追加した結果になります。
   
   
2. x64 CLR 2.0の場合、指定されたアドレスは、leaコマンドが先行するcallコマンドに組み込まれた相対オフセットにcallコマンドの終了アドレスを追加した結果になります。
   
   

5.傍受アルゴリズム

1. RuntimeMethodHandle.GetFunctionPointerの呼び出しを使用して、置換メソッドのアドレスを取得します。
   
   
2. 置換されたメソッドがすでにJITコンパイルされている場合、生成されたネイティブコードのメモリ内のアドレスを見つけ、指定されたアドレスをインターセプトして置換メソッドを実行します。
   
   
3. 置き換えられたメソッドがまだJITコンパイルされていない場合、
   
   
   1. MethodDesc構造のアドレスを計算します。
      
      
   2. 元の実装が代替PreStubWorkerメソッドで呼び出されるように、アドレスを計算し、 PreStubWorker関数をインターセプトします。
      
      
   3. 関数が必要なアドレスに一致するMethodDescアドレスを使用する場合に、代替のPreStubWorker関数に追加のロジックを追加します。 この場合、元の実装を呼び出した後、生成されたネイティブメソッドのアドレスを取得し、受信したアドレスをインターセプトして置換メソッドを実行します。
      
      
   
   
   

1. RuntimeMethodHandle.GetFunctionPointerを呼び出して、.NETメソッドのアドレスを取得します。
   
   
2. 受信したアドレスのコマンドがサンプルアダプタStubPrecodeまたはRemotingPrecodeと一致する場合、セクション2のセクション1および3で説明されているようにコンパイル済みコードのアドレスを抽出します。指定されたアドレスがThePreStub関数のアドレスと一致する場合、JITメソッドはコンパイルされず、 nullを返します。 それ以外の場合は、コンパイルされたコードのアドレスを返します。
   
   
3. 現在のアドレスがThePreStub関数のアドレスと一致するまで、以下を実行します。
   
   
   1. 現在のアドレスがjmpコマンドを指している場合、jmpコマンドの宛先アドレスに移動します。
      
      
   2. それ以外の場合、現在のアドレスが呼び出しコマンドを指している場合は、呼び出しコマンドの宛先アドレスを確認します。 PrecodeFixupThunkアダプターと等しい場合（JITコンパイル前のFixupPrecode-アダプターの場合）、NULLを返します。 それ以外の場合は、呼び出しコマンドが配置されているアドレス（または呼び出しコマンドの宛先アドレス）を返します。
      
      
   3. それ以外の場合は、現在のアドレスを返します。
      
      
   
   
   
4. ThePreStub関数のアドレスに到達したため、NULLを返します。
   
   

1. RuntimeMethodHandle.GetFunctionPointerを呼び出して、.NETメソッドのアドレスを取得します。
   
   
2. 受信したアドレスのコマンドがサンプルアダプタStubPrecodeまたはRemotingPrecodeと一致する場合、セクション2の段落1および段落3で説明されているように、 MethodDesc構造体のアドレスを計算します。
   
   
3. 現在のアドレスがThePreStub関数のアドレスと一致するまで、以下を実行します。
   
   
   1. 現在のアドレスがjmpコマンドを指している場合、jmpコマンドの直後のバイトを確認します。 0x5F（JITコンパイル後のFixupPrecodeの場合）の場合、セクション2、セクション2で説明されているように、 MethodDesc構造体のアドレスを計算します。それ以外の場合は、jmpコマンドのアドレスに移動します。
      
      
   2. それ以外の場合、現在のアドレスが呼び出しコマンドを指している場合は、呼び出しコマンドの宛先アドレスを確認します。 PrecodeFixupThunkアダプター（JITコンパイル前のFixupPrecode-アダプターの場合）と等しい場合、セクション2、セクション2で説明されているように、 MethodDesc構造体のアドレスを計算します。それ以外の場合は、NULLを返します。
      
      
   3. それ以外の場合は、NULLを返します。
      
      
   
   
   
4. NULLを返します（指定されたアイテムは到達不能でなければなりません）。
   
   

6.結論

 public static class HookedConnection { public static RTX.NET.HookHandle OpenHandle; [MethodImplAttribute(MethodImplOptions.NoInlining)] public static void Open(SqlConnection connection) { //    Console.WriteLine(connection.ConnectionString); //    OpenHandle.Call(connection); } }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 using (ConnectionEntry entry = new ConnectionEntry()) { Test(); }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 public class ConnectionEntry : RTX.NET.HookDispatcher, RTX.NET.IHookLoadHandler { //   public virtual string[] GetTypes() { //      return new string[] { "System.Data.SqlClient.SqlConnection"}; } //    public virtual void OnLoad(RTX.NET.HookDispatcher dispatcher, Type type) { //   HookedConnection.OpenHandle = HookOpen(dispatcher, type); } private RTX.NET.HookHandle HookOpen( RTX.NET.HookDispatcher dispatcher, Type targetType) { //       string name = "Open"; Type[] types = Type.EmptyTypes; //    BindingFlags flags = BindingFlags.Public | BindingFlags.Instance | BindingFlags.InvokeMethod; //   return dispatcher.Install(targetType, name, typeof(HookedConnection), name, flags, types ); } }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 public static void Test() { SqlConnection connection = new SqlConnection(); connection.ConnectionString = @"Server=(localdb)\v11.0;" + @"AttachDbFileName=C:\MyFolder\MyData.mdf;Integrated Security=true;"; connection.Open (); connection.Close(); }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 Server=(localdb)\v11.0;AttachDbFileName=C:\MyFolder\MyData.mdf;Integrated Security=true;