HookAPI

virtual DWORD HookApi::handler(void** stack, PDWORD result);

#include <windows.h>
#include <iostream>
using namespace std;

#include "HookApi.h"


//
// Перехватчик API-функции NtOpenFile
//
class HookNtOpenFile :public HookApi
{
public:
    bool hook() {
        return HookApi::hook("ntdll", "NtOpenFile");
    }

private:
    virtual DWORD handler(void** stack, PDWORD result) {
        wcout << "HookNtOpenFile" << endl;

        return -1;    // Передаем управление в реальную API-функцию
    }
};


//
// Перехватчик API-функции RtlDosSearchPath_U
//
class HookRtlDosSearchPath_U :public HookApi
{
public:
    bool hook() {
        return HookApi::hook("ntdll", "RtlDosSearchPath_U");
    }

private:
    virtual DWORD handler(void** stack, PDWORD result) {
        // читаем параметры вызова из стека
        PWSTR  lpPath        = (PWSTR)stack[1];
        PWSTR  lpFileName    = (PWSTR)stack[2];
        PWSTR  lpExtension   = (PWSTR)stack[3];
        ULONG  nBufferLength = (ULONG)stack[4];
        PWSTR  lpBuffer      = (PWSTR)stack[5];
        PWSTR* lpFilePart    = (PWSTR*)stack[6];

        wcout << "HookRtlDosSearchPath_U: " << endl;
        wcout << lpPath << endl;
        wcout << lpFileName << endl;

        // Здесь производим собственную обработку
        ...................................

        *result = 0;    // Выставляем возвращаемое в вызывающий код значение

        return 6 * sizeof(DWORD);    // Возвращаем управление в вызывающий
                                               // код без передачи в реальную API-функцию.
                                              // Шесть параметров занимают на стеке 6 * sizeof(DWORD)
    }
};


int main()
{
    // Устанавливаем хуки
    HookNtOpenFile hookNtOpenFile;
    hookNtOpenFile.hook();

    HookRtlDosSearchPath_U hookRtlDosSearchPath_U;
    hookRtlDosSearchPath_U.hook();
 
    // Код вызывающий прохученные функции
    ................................

    return 0;