heaphookinfo.md · yang fan/HustDetours

## 堆操作钩子
堆操作钩子已经构建完成，钩子程序包含对于堆创建、堆空间申请、堆释放和堆销毁的检测，并通过管道输出相应信息。由于堆空间申请操作过于频繁，程序中仅对堆空间申请操作进行记录，而不输出信息。

堆操作钩子程序（heap_hook.dll）会对已创建的堆和已申请空间的堆进行记录，并在堆释放操作和堆销毁操作时进行检查以确保申请与释放一致，避免多次释放。钩子仅当在以下情况下通过管道发送信息：
1、存储堆句柄的数组已满，且仍有新的堆被创建时：输出“array is full!”，表示数组已满，钩子无法再进行监测，并且此时程序的运行会产生异常；\
2、程序尝试释放一个不含有空间的堆：输出“[High-risk] Doublefree operation”，此时程序可能有双重释放的恶意操作，钩子会使“高危操作记录”加一；\
3、程序尝试释放一个不存在的堆：输出“[Low-risk] Free a heap doesn't exist”，此情况下钩子会使“低危操作记录”加一；\
4、程序尝试销毁一个未被释放的堆：输出“[High-risk] Memory leak operation”，此时程序可能导致内存泄漏，钩子会使“高危操作记录”加一；\
5、程序尝试销毁一个不存在的堆：输出“[Low-risk] Destroy a heap doesn't exist”，此情况下钩子会使“低危操作记录”加一。\
程序运行结束后，钩子会将高危运行记录和低危运行记录发往前端。\
上述涉及危险操作的情况下，钩子都会将程序信息和函数调用参数输出，这些参数可显示在前端运行结果的“详细信息”中，运行结果可只显示高危操作记录和低危操作记录。

## HeapCreate函数传回信息
| 字段         | 含义                                                         | 示例                     |
| ----------- | ------------------------------------------------------------ | ------------------------ |
| errcode     | 错误码，标识每种错误                                           | 2435                     |
| Operation   | 唤起SendPipe的操作                                            | HeapCreate               |
| flOptions   | 堆分配选项，见[WindowsManual](https://learn.microsoft.com/zh-CN/windows/win32/api/heapapi/nf-heapapi-heapcreate)                                                       | 0                        |
| dwInitialSize| 堆创建时的初始大小                                            | 0                        |
| dwMaxmumSize| 堆的最大大小                                                  | 0                        |
| processID   | 等同pid，其实不用获取                                          | 9076                     |
| processPath | 计算获取，进程对应可执行文件绝对路径                             | D:\\\\HeapTest.exe      |
| return      | 真函数执行返回值，此处为堆句柄的int强制转换值                    | 1446112                  |

## HeapFree函数传回信息
| 字段        | 含义                                                         | 示例                     |
| ----------- | ------------------------------------------------------------ | ------------------------|
| errcode     | 错误码，标识每种错误                                          | 2436                     |
| Operation   | 唤起SendPipe的操作                                            | HeapFree                |
| hHeap       | 堆句柄，此处为int强制转换值                                    | 38273024                |
| dwFlags     | 堆释放选项，见[WindowsManual](https://learn.microsoft.com/zh-cn/windows/win32/api/heapapi/nf-heapapi-heapfree)                                                         | 0                       |
| lpMem       | 指向HeapAlloc时分配的堆空间的指针，此处为int强制转换值           | 38274488                |
| processID   | 等同pid，其实不用获取                                         | 9076                     |
| processPath | 计算获取，进程对应可执行文件绝对路径                            | D:\\\\HeapTest.exe       |
| return      | 真函数执行返回值，此处为BOOL型                                 | FALSE                    |

## HeapDestroy函数传回信息
| 字段        | 含义                                                         | 示例                     |
| ----------- | ------------------------------------------------------------ | ------------------------|
| errcode     | 错误码，标识每种错误                                          | 2438                     |
| Operation   | 唤起SendPipe的操作                                           | HeapDestroy              |
| hHeap       | 堆句柄，此处为int强制转换值                                    | 38273024                |
| processID   | 等同pid，其实不用获取                                         | 9076                     |
| processPath | 计算获取，进程对应可执行文件绝对路径                            | D:\\\\HeapTest.exe       |
| return      | 真函数执行返回值，此处为BOOL型                                 | FALSE                    |

## 程序运行结束传回信息
| 字段        | 含义                                                         | 示例                     |
| ----------- | ------------------------------------------------------------ | ------------------------|
| High-risk   | 程序运行过程中进行高危堆操作的次数                              | 2                       |
| Low-risk    | 程序运行过程中进行低危堆操作的次数                              | HeapDestroy             |
| processID   | 等同pid，其实不用获取                                         | 9076                     |
| processPath | 计算获取，进程对应可执行文件绝对路径                            | D:\\\\HeapTest.exe       |

## 错误码含义
| 错误码       | 含义                                                         | 随该错误码发回的信息                      |
| ----------- | ------------------------------------------------------------ | -----------------------------------------|
| 2435        | 存储堆句柄的数组已满，且仍有新的堆被创建，请求管理员扩充数组       | Array is full                           |
| 2436        | 程序尝试释放一个未分配空间的堆                                  | [High-risk] Doublefree operation        |
| 2437        | 程序尝试释放一个不存在的堆                                      | [Low-risk] Free a heap doesn't exist    |
| 2439        | 程序尝试销毁一个不存在的堆                                      | [Low-risk] Destroy a heap doesn't exist |

测试程序（heaptest.exe）会进行正常的堆创建、申请、释放、销毁操作，并在每个操作完成后在控制台输出提示语句。\
恶意测试程序（evil_heaptest.exe）会进行双重释放操作，并在操作完成后在控制台输出提示语句。

堆操作钩子程序路径：vc\Debug\heap_hook.dll                                                          \
测试程序路径：vc\Debug\heaptest.exe                                                                   
恶意测试程序路径：vc\Debug\evil_heaptest.exe

yang fan/HustDetours

简介

发行版

贡献者

近期动态

yang fan/HustDetours .gitee-modal { width: 500px !important; }

简介

发行版

贡献者

近期动态

搜索帮助

yang fan/HustDetours