HookDx

shane007

  L0 F, k8 m; s, g3 d; ^5 jDirrectxHook 工具

标 题: 【原创】高手莫入 在游戏中显示自己的文字和图形的方法
4 G8 C) u; @) J作 者: runjin
时 间: 2009-04-03,23:44
) S9 u0 I" V7 {/ t( E6 E链 接: http://bbs.pediy.com/showthread.php?t=85368
3 G& L) k  I" Z  }' K1 i4 j- G
7 B! M1 {7 L, |* Q- u' O- \+ MHook Directx:在游戏中显示自己的文字和图形的方法

这个方法出自我大概两年前的一个项目,现在经整理后贴出来和大家分享一下,利用该方法可以在一般的directx游戏里面绘制文本甚至图形对象.
: S  ]* B7 z5 z% _其实思路上非常简单,大致是这样的:要在directx中绘制文字和各种图形对象,只要获得一个类型为LPDIRECT3DDEVICE9的设备对象指针.怎样获得这个指针呢?我的方法是首先hook掉Direct3DCreate9以获得类型为LPDIRECT3D9的Direct3D对象的接口指针,这个Direct3D对象有一个成员函数为 IDirect3D9::CreateDevice,设备对象指针就是在这个函数里面创建的.所以,只要根据Direct3D对象接口指针找到Direct3D对象的虚函数表,再根据虚函数表确定IDirect3D9::CreateDevice的内存地址,就可以hook这个函数,从而获得类型为LPDIRECT3DDEVICE9的设备对象指针,然后就可以随意绘制文字或者图形了.
% `# t) M3 B, b& V# o3 Q+ }还有一个要hook的地方,即IDirect3DDevice9::Present,这个函数用于交换当前后备缓存区,刷新窗口.要使得我们自己绘制的东西一直显示在屏幕上,比较好的处理方法是hook掉IDirect3DDevice9::Present,在程序真正调用这个函数前插入我们自己的绘制代码.只要根据设备对象指针找到设备对象的虚函数表,根据虚函数表找到IDirect3DDevice9::Present在内存中的地址就可以hook了.下面是对hook directx的详细说明.
首先是找到Direct3DCreate9的内存地址,然后把入口的5个字节修改为跳转指令.
    pC=GetProcAddress(GetModuleHandle("d3d9.dll"),"Direct3DCreate9");//获得内存地址
    DWORD oldpro=0;
9 p6 `! O; X5 W    memcpy(d3dcen5bytes,pC,5);
$ K" g1 j: f; L% T6 J/ Y    VirtualProtect(pC,5,PAGE_EXECUTE_READWRITE,&oldpro);
! l9 O$ ~- h9 D& Z+ [. W, D  `    *(BYTE*)pC=0xe9;//0xe9在汇编中是跳转指令操作码
) Z- \/ J2 K% A6 H9 Y! k1 y    *(DWORD*)((BYTE*)pC+1)=(DWORD)hookedDirect3DCreate9-(DWORD)pC-5;//目标地址-原地址-5
) a- A) \3 A# k4 _0 M  x  O% T. Z7 R
/ ^  e) D: ~5 j1 h
这样,在程序运行到Direct3DCreate9时就会跳转到hookedDirect3DCreate9,在这个函数中,首先是还原Direct3DCreate9入口的5个字节,然后调用真正的Direct3DCreate9,如果函数调用成功,就会返回类型为LPDIRECT3D9的Direct3D对象指针,这正是我们所需要的,得到这个指针后,就可以根据Direct3D对象的虚函数表确定IDirect3D9::CreateDevice的内存地址,然后就可以把这个函数入口的5个字节修改成为跳转指令,跳到我们自己的函数中去. 有个地方值得注意的是,在directx的虚函数中把this指针作为第一个形参入栈了.例如说sdk中IDirect3D9::CreateDevice的函数说明是这样:
! c) Q0 n  o3 fHRESULT CreateDevice(
  UINT Adapter,
  D3DDEVTYPE DeviceType,
; `' u$ b5 S: g  }& [/ y- L  HWND hFocusWindow,
9 W5 n4 f& ]# f, |8 ?# b( \  DWORD BehaviorFlags,
  D3DPRESENT_PARAMETERS * pPresentationParameters,
  IDirect3DDevice9 ** ppReturnedDeviceInterface
);
0 Q8 s# Q: Z" V- N4 z
/ E+ ?2 L2 z( @0 ^! K- I# q
' ~: L6 \% b. p" ]1 X: U而为了程序跳转到我们的代码执行完后保持栈的平衡,hookedDirect3DCreat9函数声明应该是这样:
# d0 r, p  Q9 a- f: l7 {3 FHRESULT _stdcall hookedCreateDevice(
1 ~" B6 n. |$ g7 F                                  LPDIRECT3D9 pDx9,
                                  UINT Adapter,
                                  D3DDEVTYPE DeviceType,
" D. p& U  O, [* @+ i                                  HWND hFocusWindow,
8 n7 x8 ]- P/ {8 A                                  DWORD BehaviorFlags,
. K2 m: I( z& _. Y" J                                  D3DPRESENT_PARAMETERS * pPresentationParameters,
8 G# u. e) g4 l                                  IDirect3DDevice9 ** ppReturnedDeviceInterface

, J0 o8 I9 j) |5 }, H4 c; s* z                                  );

; c: F* z8 C# a! C( c其中的LPDIRECT3D9 pDx9就是this指针.

7 b3 \3 O: H* ?7 O5 EhookedDirect3DCreate9的关键代码如下:
pCdev=(void*)*(DWORD*)(*(DWORD*)m_pD3D+0x40);//获得IDirect3D9::CreateDevice的地址指针
- Q- Q2 w, [% @$ k4 l- ]" q
- g$ A" I4 F, h0 M' `" I9 S9 _9 Y        DWORD oldpro=0;
* f7 z" V% Z2 N1 ~/ x        memcpy(devcen5bytes,pCdev,5);//保存IDirect3D9::CreateDevice入口5个字节
3 o! K1 w6 f$ x/ b        VirtualProtect(pCdev,5,PAGE_EXECUTE_READWRITE,&oldpro);
& L( K7 F+ w9 E5 `& s        *(BYTE*)pCdev=0xe9;
        *(DWORD*)((BYTE*)pCdev+1)=(DWORD)hookedCreateDevice-(DWORD)pCdev-5;
8 I% I4 f3 k# B# _( \2 f; I
6 ~2 x$ I! c% ~; _: G& J& }在hookedCreateDevice中,首先还原原来的CreateDevice函数入口的5个字节,然后调用原来的函数, IDirect3D9::CreateDevice的最后一个参数是一个二重指针,如果函数调用成功,这个二重指针所指向的指针就是我们所需要的设备对象指针,由此找到设备对象的虚函数表,然后确定IDirect3DDevice9::Present的内存地址,然后又可以改掉入口的5个字节为跳转指令. hookedCreateDevice的关键代码如下:
* V, C2 p& F5 O$ d: FpPre=(void*)*(DWORD*)(*(DWORD*)m_pDevice+0x44);//获得IDirect3DDevice9::Present的地址指针
        memcpy(pren5bytes,pPre,5);//保存IDirect3DDevice9::Present入口的5个字节
. O8 e7 S# ^3 C! N  V3 q' O        DWORD oldpro=0;
& r# P( p. w% \: S        VirtualProtect(pPre,5,PAGE_EXECUTE_READWRITE,&oldpro);
) F3 m7 n6 d8 y, w        *(BYTE*)pPre=0xe9;
        *(DWORD*)((BYTE*)pPre+1)=(DWORD)hookedPresent-(DWORD)pPre-5;

; |. K' F$ W7 b+ `$ v实际上这几个函数的hook都是同样的道理,现在,当程序运行到IDirect3DDevice9::Present后又会跳转到hookedPresent,而我们自己的绘制代码就是放在hookedPresent里面.在执行完自己的绘制代码后再调用原来的IDirect3DDevice9::Present.我的hookedPresent的关键代码如下:
char strdraw[]="The drawing in directx game\nAuthor:RunJin\nEmail:[email protected]";
4 x# Z1 _% v8 }4 l; z            DrawMyText(pDxdevice,strdraw,sizeof strdraw-1);//绘制文本
# A2 o+ ]8 w6 }+ \            //在这里写入您的其它绘图代码
# B& Y* @9 ^  ]9 m; U- U; |% v
# k8 T& R6 N" }  C4 w0 M+ s4 E
再来看看其中的DrawMyText,这个函数是我的绘制文本的函数:
. k7 v/ U2 [2 N" pBOOL _stdcall DrawMyText(LPDIRECT3DDEVICE9 pDxdevice,TCHAR* strText ,int nbuf)
{
5 B& O7 I/ |6 |  T, Y1 F( K; m
% t1 H- O* M! O0 t3 t1 A0 `1 V    if(m_pD3D && pDxdevice){
, f) S  f$ u8 m; b. E/ m1 V, a
        RECT myrect;
& B3 m5 k  o; v  J& f2 X        myrect.top=150;  //文本块的y坐标
$ v2 g% z. ]2 c5 s, I3 t        myrect.left=0; //文本块的左坐标
8 |  \2 w( I, A2 f7 f0 P, d        myrect.right=500+myrect.left;
        myrect.bottom=100+myrect.top;
        pDxdevice->BeginScene();//开始绘制

5 K% S; S: I8 K  q- k5 H        D3DXFONT_DESCA lf;
        ZeroMemory(&lf, sizeof(D3DXFONT_DESCA));
        lf.Height = 24; //字体高度
        lf.Width = 12; // 字体宽度
) U( X; H4 `! B0 M        lf.Weight = 100;
        lf.Italic = false;
- L+ L9 }# x# `3 s. [8 I        lf.CharSet = DEFAULT_CHARSET;
        strcpy(lf.FaceName, "Times New Roman"); // 字型
        ID3DXFont* font=NULL;
        if(D3D_OK!=D3DXCreateFontIndirect(pDxdevice, &lf, &font)) //创建字体对象
            return false;
: U# F7 b: R" V; ^, Y
$ W( D* X) r; ^/ W/ T0 v        font->DrawText(
            NULL,
            strText, // 要绘制的文本
            nbuf,
% ^0 ?& r2 _8 Y            &myrect,
& T2 r7 r9 V; S            DT_TOP | DT_LEFT, // 字符居左显示
            D3DCOLOR_ARGB(255,255,255,0));

" {$ q3 t% V6 A/ ]( i        pDxdevice->EndScene();//结束绘制
; z! O# g4 c5 L+ g) {; m% Z        font->Release();//释放对象
6 F! Y( |4 K& F3 ]% X    }
' y$ i) ?. A4 W. k, M% ]& U- X    return true;
7 N; i$ S( G1 ?$ M* |" o}

效果图:


% `5 U: s0 L( R2 W4 [
  
2 Y3 n4 o. s& b6 n4 Q8 l

后记: 代码是以前写的,因此文章就按照着代码来讲.然而现在看来,把函数入口点的5个字节改成跳转指令这种hook方法并不是那么好,其实可以直接改掉虚函数表中的函数指针,这样更加的安全保险.
, s7 X# T$ ~5 h8 @8 ~* Y  D, t
* p* P; |" V( v+ d# H: `1 I

byp100

http://www.codeproject.com/KB/system/Hooking_DirectX_COM.aspx

发一篇希望有帮助

shane007

引用第1楼byp100于2010-02-11 01:06发表的  :
" }4 T  `  n2 m/ o! N0 vhttp://www.codeproject.com/KB/system/Hooking_DirectX_COM.aspx

& O* j" }% }# K# J1 g/ ^2 G发一篇希望有帮助

收到，多谢了，这篇文章我也早就找到过。
目前就是要研究如何把汉化和hook dx结合起来。

shane007

顶上来