Перехват API функции Sleep()

    adr_rFunc = (DWORD)GetProcAddress(GetModuleHandle(L"user32.dll"), "Sleep");
    if (adr_rFunc == 0){
        MessageBox(NULL, L"Can`t get addres", L"Error!", MB_OK);
            return;
    }

#include <process.h>
#include <Windows.h>
#include <iostream>
 
void _sleep() { Sleep(2000); }
 
int main() {
    while (1) { printf("Process id: %d\n", _getpid()); _sleep(); }
    return 0;
}

struct jmp_far
{
    BYTE instr_push;  //здесь будет код инструкции push
    DWORD arg;         //аргумент push
    BYTE  instr_ret;    //здесь будет код инструкции ret
};
 
BYTE old[6]; //область для хранения 6-ти затираемых байт начала функции
DWORD adr_rFunc; //будущий адрес оригинальной функции
DWORD written; //вспомогательная переменная
jmp_far jump; //здесь будет машинный код инструкции перехода
 
DWORD oldProtect, myProtect = PAGE_EXECUTE_READWRITE;
 
void InterceptFunctions(void)
{
    DWORD op;
    //сначала получим абсолютный адрес функции для перехвата
    adr_rFunc = (DWORD)GetProcAddress(GetModuleHandle(L"Kernel32.dll"), "Sleep");
    if (adr_rFunc == 0){
        MessageBox(NULL, L"Can`t get addres", L"Error!", MB_OK);
            return;
    }
 
    VirtualProtect((LPVOID)adr_rFunc, sizeof(jmp_far), PAGE_EXECUTE_READWRITE, &oldProtect);
 
    jump.instr_push = 0x68;
    jump.arg = (DWORD)&Intercept_Sleep;
    jump.instr_ret = 0xC3;
 
    //Прочитаем и сохраним первые оригинальные 6 байт стандартной API функции
    ReadProcessMemory(GetCurrentProcess(), (void*)adr_rFunc, (void*)&old, 6, &written);
 
    //Запишем команду перехода на нашу функцию поверх этих 6-ти байт
    WriteProcessMemory(GetCurrentProcess(), (void*)adr_rFunc, (void*)&jump, sizeof(jmp_far), &written);
 
    VirtualProtect((LPVOID)adr_rFunc, sizeof(jmp_far), oldProtect, NULL);
 
    }
 
//данное определение аналогично __srtdcall
BOOL WINAPI Intercept_Sleep(DWORD dwMilliseconds)
{
    VirtualProtect((LPVOID)adr_rFunc, sizeof(jmp_far), oldProtect, NULL);
 
    //Сначала восстанавливаем 6 первых байт функции. Это не обязательное 
    // действие, просто мы решили подшутить над пользователем, и все 
    // сообщения функции MessageBoxA переделать на свои, поэтому нам придется
    // вызвать оригинальную функцию, а для этого следует восстановить ее адрес:
    WriteProcessMemory(GetCurrentProcess(), (void*)adr_rFunc, (void*)&old, 6, &written);
 
    //Здесь вы можете порезвиться от души и выполнить любые, пришедшие вам 
    // в голову действия. Мы просто заменили сообщение функции на свое:
 
    MessageBox(NULL, L"WORKING", L"HUURRAAAHH", MB_OK);
 
    //Вызываем оригинальную функцию через указатель
    ((BOOL(__stdcall*)(DWORD))adr_rFunc)(dwMilliseconds);
 
    //Снова заменяем  6 байт функции на команду перехода на нашу функцию
    WriteProcessMemory(GetCurrentProcess(), (void*)adr_rFunc, (void*)&jump, 6, &written);
 
    VirtualProtect((LPVOID)adr_rFunc, sizeof(jmp_far), oldProtect, NULL);
 
    return TRUE;
}

#pragma pack(push, 1)
 
struct jmp_far
{
    BYTE instr_push;  //здесь будет код инструкции push
    DWORD arg;         //аргумент push
    BYTE  instr_ret;    //здесь будет код инструкции ret
};
 
#pragma pack(pop)