EasyHook 是 Windows 平台下开源的 APIHOOK 工具库，因其开源有 64 位版本而注广为流传，微软也有提供 64 位 APIHOOK 的代码，但是要收费的。最近公司让我做一个 HOOK 的名单功能，顺便就研究了一下 EasyHook 的静态库编译和使用，也弥补一下曾经再这方面耗费的心血。下图是 HOOK 成功后 DebugView 的输出。
配置 EasyHook 静态库编译环境
首先去官方下载 EasyHook 源代码到本地，使用 VS2015 打开项目（目前官方是 VS2013 编译的，最低不能低于 VS2010 SP1，因为官方最新代码中引入了 C99 标准，VS2008 以下版本缺少很多头文件无法编译通过）。
打开项目后，删除掉一些无用的C#项目代码和一些文档，只保留一个 EasyHookDll 的项目，如下图：
删除所有无用的文件夹，只保留下图几个文件夹（看你自己需要，这里不删除后面编译的时候会因为项目关联问题导致编译不过去，最好是删除掉）
打开 EasyHookDll 目录。复制 EasyHookDll.vcxproj 文件和 EasyHookDll.vcxproj.filters 文件，改名为 EasyHookLib.vcxproj 和 EasyHookLib.vcxproj.filters
把复制后的 EasyHookLib.vcxproj 添加到项目中：
添加到项目后，在 VS 视图中，打开“属性管理器”视图
切换到属性管理器窗口，删除所有 netfx4 的配置
然后删除所有 netfx3.5 的名称前缀
接下来，修改配置属性，打开配置管理器
点击活动解决方案管配置的下拉菜单->编辑选项，删除所有 netfx4 的配置，并将 netfx3.5 配置的前缀去掉
这样最终就只剩下 Debug 和 Release 版本的，没有那么多无用的配置选项了。随后再点开“活动解决方案的”的下拉菜单，删除 AnyCPU 的选项。如下图：
修改完配置后，点击 EasyHookLib 的项目右键->属性->常规，由原来的 Dll 修改为 Lib 库，如下图（注意红框的位置，将所有配置所有平台下都修改了）：
然后切换到 C/C ->预处理器 选项中，将每一个配置下的“预处理器定义”中的 EASYHOOK_EXPORTS 删除，由于每种配置下这个属性不同，所以不能像之前一样，选所有配置一下都修改了，只能一个一个的修改。其实现在只有 Debug 和 Release 两个配置了，改起来也不麻烦。
切换到 生成事件->后期生成事件 选项卡中，删除所有配置下的所有平台中的命令行属性（这个选项是在项目生成后执行的批处理命令，主要是拷贝一些文件到指定目录，我们用不到，所以删除）
切换到 库管理器->命令行 选项卡中，在 Win32 平台下添加选项 /MACHINE:X86，在 x64 平台下添加选项 /MACHINE:X64，这个属性决定了 Lib 库是多少位的。
至此所有配置和属性都修改完了，接下来我们要动一下源代码，不然编译后的 Lib 库也是用不了的。打开 Source Files 下的 dllmain.c，将原来的 dllmain 函数：
代码语言：javascript复制BOOL APIENTRY DllMain( HMODULE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)修改为
代码语言：javascript复制EXTERN_C BOOL APIENTRY EasyHookDllMain(HMODULE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)然后打开头文件 easyhook.h。删除如下内容：
代码语言：javascript复制#ifdef EASYHOOK_EXPORTS
#define EASYHOOK_API __declspec(dllexport) __stdcall
#define DRIVER_SHARED_API(type, decl) EXTERN_C type EASYHOOK_API decl
#else
#ifndef DRIVER
#define EASYHOOK_API __declspec(dllimport) __stdcall
#define DRIVER_SHARED_API(type, decl) EXTERN_C type EASYHOOK_API decl
#else
#define EASYHOOK_API __stdcall
#define DRIVER_SHARED_API(type, decl) typedef type EASYHOOK_API PROC_##decl; EXTERN_C type EASYHOOK_API decl
#endif
#endif替换为
代码语言：javascript复制#define EASYHOOK_API __stdcall
#define DRIVER_SHARED_API(type, decl) typedef type EASYHOOK_API PROC_##decl; EXTERN_C type EASYHOOK_API decl此时，编译一下项目，即可编译通过了。
Lib 库的编译先到这里，至于 Lib 库的使用，我写了一个 Example，请大家访问 github 下载源代码自行编译调试：https://github.com/nmgwddj/EasyHook。该项目包含了 32 位和 64 位的 Lib 库，和一个测试项目，HOOK 了 NtCreateFile 函数实现了对文件打开创建等功能的监控。代码中有较为详细的注释，若有不明白的地方，欢迎随时给我留言。
