Inline Hook核心是跳转指令替换与跳板生成：在目标函数入口写入jmp/call跳转至自定义逻辑，同时用trampoline补全被覆盖指令并返回原函数；需精准判断指令边界、分配可执行内存、处理调用约定与多线程安全。
Inline Hook 的核心其实是“跳转指令替换 + 跳板生成”
Inline Hook 不是魔法，本质是在目标函数开头几字节写入 jmp 或 call 指令，跳转到你的新逻辑；但原函数剩余字节不能丢，得在跳板（trampoline）里补全执行，再跳回去。关键点就两个：指令长度判断要准、跳板内存必须可执行且对齐。
常见错误是直接覆盖前 5 字节却没检查是否切在指令中间——比如把 mov rax, [rbx+0x10]（7 字节）硬截成 5 字节，CPU 解码就会崩。所以必须用反汇编库（如 udis86 或手写轻量解析）逐条取指令，累加直到 ≥5 字节（x64 下 jmp rel32 占 5 字节）。
- Windows 下用
VirtualProtect改写权限，Linux 用mprotect，别漏掉PROT_EXEC - 跳板内存推荐用
VirtualAlloc(MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE)分配，避免堆/栈页不可执行 - 跳板末尾必须还原跳转回原函数被覆盖区域之后的位置（即
original_func + copied_bytes）
怎么安全地 patch 目标函数开头（尤其多线程环境）
目标函数正在被其他线程执行时改写指令，大概率触发非法指令或数据错乱。不能只靠 std::mutex ——锁住的是你自己的代码，不是 CPU 流水线。
正确做法是：暂停所有相关线程（Windows 用 SuspendThread + GetThreadContext 检查 RIP 是否落在目标函数地址范围内；Linux 用 ptrace(PTRACE_ATTACH)），patch 完再恢复。更轻量的方案是使用 __readgsqword(0x30)（Windows TLS）或信号掩码（Linux）做运行时检测，但仅适用于可容忍短暂窗口期的场景。
立即学习“C++免费学习笔记（深入）”；
- 绝对不要在 DllMain /
__attribute__((constructor))里做 inline hook —— 此时 loader 锁可能未释放，极易死锁 - 若 hook 的是系统 DLL 函数（如
kernel32!CreateFileA），注意 ASLR 导致基址变化，得先用GetModuleHandle或dlopen获取真实地址 - ARM64 需用
br+adrp/add组合跳转，不能直接写b—— 因为相对偏移范围有限
trampoline 生成要处理调用约定和寄存器污染
跳板不是简单复制字节再 jmp 回去。x64 下 fastcall 把前 4 个参数放 rcx/rdx/r8/r9，如果你的 hook 函数签名和原函数不一致（比如多加了个 void* user_data），跳板里就得手动保存/恢复这些寄存器，否则原函数读到垃圾值。
示例：hook int MessageBoxA(HWND, LPCSTR, LPCSTR, UINT)，想在跳板里先调自己的 my_MessageBoxA(HWND, LPCSTR, LPCSTR, UINT, void*)，那跳板开头就得 push rcx~r9（按需），结尾 pop 并调整栈平衡。
- Windows x64 SEH 要求栈必须 16 字节对齐，跳板中若调用其他函数，得确保
rsp % 16 == 0（通常 push 一个 dummy 值即可） - 不要用内联汇编生成跳板（GCC/Clang 不保证寄存器分配可控），手写机器码或用
std::vector<uint8_t></uint8_t>构造更可靠 - 跳板大小建议预留 64 字节以上——指令复制、寄存器保存、你的 hook 调用、跳回，很容易超
为什么 Release 模式下 hook 失败率更高
编译器优化会让函数内联、删空函数体、合并基本块，甚至把小函数展开成几条指令插在调用点。你 hook 的地址，可能根本不是函数入口，而是某个被内联后的片段。
验证方式很简单：用 objdump -d your.exe | grep "target_func_name"（Linux）或 dumpbin /disasm your.dll（Windows），确认符号地址确实对应可执行代码，且开头有足够空间（≥5 字节）放跳转指令。如果发现地址处是 ret 或直接跳转，说明已被优化干掉。
- 强制不内联：MSVC 加
__declspec(noinline)，GCC/Clang 加__attribute__((noinline)) - 禁用 LTO（Link Time Optimization）：CMake 中设
set(CMAKE_INTERPROCEDURAL_OPTIMIZATION OFF) - Release 下调试信息缺失，建议用
#pragma comment(linker, "/EXPORT:funcname")（Windows）或__attribute__((visibility("default")))（Linux）导出符号，方便定位
真正难的从来不是写几行跳转指令，而是让跳转发生在 CPU 认为“合理”的地方，且不被编译器、OS、CPU 自己的推测执行联手破坏。每一步都得对着反汇编和寄存器状态较真。
