对于HOOK函数的一点认识

最新推荐文章于 2023-08-31 10:53:01 发布

jiangxinyu

最新推荐文章于 2023-08-31 10:53:01 发布

阅读量6.7k

点赞数

分类专栏： windows 文章标签： hook null winapi thread keyboard file

windows 专栏收录该内容

259 篇文章 3 订阅

订阅专栏

这种函数是Windows消息处理机制的一部分，通过设置“钩子”，应用程序可以在系统级对所有消息、事件进行过滤，访问在正常情况下无法访问的消息。当然，这么做也是需要付出一定的代价的。由于多了这么一道处理过程，系统性能会受到一定的影响，所以大家在必要的时候才使用“钩子”，并在使用完毕及时将其删除。

　　首先让我们看看HOOK函数是怎么安装、调用和删除的。应用程序通常是调用SetWindowsHookEx()函数来进行安装的，其函数的原型如下：

SetWindowsHookEx(

Int idHook;

HOOKPROC lpfn;

HINSTANCE hMod;

DWORD dwThreadId;

);

参数说明：

idHook 是”钩子”的类型，”钩子”的类型一共有13种，具体如下表：

“钩子”类型
解释

WH_CALLWNDPROC
系统将消息发送到指定窗口之前的“钩子”

WH_CALLWNDPROCRET
消息已经在窗口中处理的“钩子”

WH_CBT
基于计算机培训的“钩子”

WH_DEBUG
差错“钩子”

WH_FOREGROUNDIDLE
前台空闲窗口“钩子”

WH_GETMESSAGE
接收消息投递的“钩子”

WH_JOURNALPLAYBACK
回放以前通过WH_JOURNALRECORD“钩子”记录的输入消息

WH_JOURNALRECORD
输入消息记录“钩子”

WH_KEYBOARD
键盘消息“钩子”

WH_MOUSE
鼠标消息“钩子”

WH_MSGFILTER
对话框、消息框、菜单或滚动条输入消息“钩子”

WH_SHELL
外壳“钩子”

WH_SYSMSGFILTER
系统消息“钩子”

lpfn 指向“钩子”过程的指针。

hMod “钩子”过程所在模块的句柄。

dwThreadId “钩子”相关线程的标识。

　　通常我们都是把”钩子”做成动态链接库，这样的好处是可以是系统内的每个进程访问。但是也可以在系统中直接调用，我的建议还是用动态库。如果用动态库的话，那么SetWindowsHookEx()中的第三个参数就是该动态链接库模块的句柄；对于一个只供单个进程访问的”钩子”，可以将其”钩子”过程放在安装”钩子”的同一个线程内，此时SetWindowsHookEx()中的第三个参数为该线程的hInstance。安装”钩子”有两种方法：1.你可以把他做成动态连接库文件，和程序一起编译。2.你可以在程序的任何地方直接调用。第2种的方法太麻烦，我不建议用，在这里我就不详细介绍啦。相比之下第1种比较简单。其”钩子”的过程都在动态链接库内完成。SetWindowsHookEx()函数是一个安装函数，如故一个由某种类型的”钩子”监视的事件发生，系统就会调用相应类型的”钩子”链开始处的”钩子”过程，”钩子”链的每个”钩子”过程都要考虑是否把事件传递给下一个”钩子”过程。如果要传递的话，就要调用CallNestHookEx()函数。这个函数成功时返回”钩子”链中下一个”钩子”过程的返回值，返回值的类型依赖于”钩子”的类型。这个函数的原型如下：

LRESULT CallNextHookEx(

HHOOK hhk;

int nCode;

WPARAM wParam;

LPARAM lParam;

);

　　其中hhk为当前”钩子”的句柄，由SetWindowsHookEx()函数返回。NCode为传给”钩子”过程的事件代码。wParam和lParam 分别是传给”钩子”过程的wParam值，其具体含义与”钩子”类型有关。

释放”钩子”

　　释放”钩子”比较简单，他只有一个参数。当不在需要”钩子”时，应及时将其释放。他是调用UnhookWindowsHookEx()函数来实现的，函数原型如下：

UnhookWindowsHookEx(

HHOOK hhk;

);

函数成功返回TRUE，否则返回FALSE。

如果我这样讲您还是不明白的话，请看下面给出的一些典型“钩子”代码和说明。

LRESULT WINAPI CallWndProc(int nCode,WPARAM wParam,LPARAM lParam)

{

if(nCode<0)

return CallNextHookEx(NULL,nCode,wParam,lParam);

switch(nCode)

{

case HC_ACTION:

//”钩子”程序要处理什么的代码

break;

default:

break;

}

return CallNextHookEx(NULL,nCode,wParam,lParam);

}

　　这是WH_CALLWNDPROC”钩子”的代码，此”钩子”允许程序监视由函数SendMessage发送给窗口过程的消息。系统将消息发送到目的窗口之前调用WH_CALLWNDPROC “钩子”过程。

LRESULT WINAPI CallwndProc(int nCode,WPARAM,wParam,LPARAM lParam)

{

if(nCode<0) return callNextHookEx(NULL,nCode,wParam,lParam);

switch(nCode)

{

case HC_ACTION:

switch(wParam)

{

Case PM_REMOVE:

//某个应用程序调用了GetMessage函数或者是带PM_REMOVE参数的//PeekMessage函数，从消息队列中移去一个消息。

Break;

Case PM_NOREMOVE:

//某个应用程序以PM_NOREMOVE为参数调用PeekMessage函数

break;

default:

break;

}

break;

default:

break;

}

return CallNextHookEx(NULL,nCode,wParam,lParam);

}

　　这是调用WH_GETMESSAGE的函数，此函数允许应用程序监视函数GetMessage和 PeekMessage返回的消息。应用程序可以用钩子WH_GETMESSAGE来监视鼠标和键盘的输入以及其他系统发送到消息队列中的消息。

LRESULT CALLBACK CBTProc(int nCode,WPARAM wParam,LPARAM lParam)

{

If(nCode<0) Return callNextHookEx(NULL,nCode,wParam,lParam);

Switch(nCode)

{

case HCBT_ACTIVATE:

//系统将激活一个窗口

break;

case HCBT_CLICKSKIPPED:

//系统从系统消息队列中移去一个鼠标消息

break;

case HCBT_CREATEWND:

//系统将创建一个窗口

break;

case HCBT_DESTROYWND:

//系统将关闭一个窗口

break;

case HCBT_KEYSKIPPED:

//系统从系统消息队列中移去一个键盘消息

break;

case HCBT_MINMAX:

//系统将最大化或最小化一个窗口

break;

case HCBT_MOVESIZE:

//系统将移动一个窗口或改变一个窗口的大小

break;

case HCBT_QS:

//系统在系统消息队列中检索到WM_QUEUESYNC消息

break;

case HCBT_SETFOCUS:

//系统设置键盘输入窗口

break;

case HCBT_SYSCOMMAND:

//将要执行一个系统命令

break;

default:

//可以添加其他代码

break;

}

return CallNextHookEx(NULL,nCode,wParam,lParam);

}

　　每种”钩子”类型都有其对应的函数，这些函数的参数都是一样的，有兴趣的朋友可以在ＭＳＤＮ中找的他们的详细说明。

下面我给出一个完整的”钩子”安装和删除的过程的代码。

#include "stdafx.h"

#include "hook.h"

HINSTANCE hInstance;

HHOOK hhkKeyboard;

BOOL APIENTRY DllMain( HANDLE hModule,DWORD ul_reason_for_call, LPVOID lpReserved)

{

switch (ul_reason_for_call)

{

case DLL_PROCESS_ATTACH:

case DLL_THREAD_ATTACH:

case DLL_THREAD_DETACH:

case DLL_PROCESS_DETACH:

break;

}

hInstance=(HINSTANCE)hModule;

return TRUE;

}

LRESULT KeyboardProc(int nCode,WPARAM wParam,LPARAM lParam)

{

MessageBeep(-1);

return CallNextHookEx(NULL,nCode,wParam,lParam);

}

HOOK_API BOOL EnableKeyboardCapture()

{

if(!(hhkKeyboard=SetWindowsHookEx(WH_KEYBOARD,(HOOKPROC)KeyboardProc,hInstance,0)))

return FALSE;

return TRUE;

}

HOOK_API BOOL DisableKeyboardCapture()

{

return UnhookWindowsHookEx(hhkKeyboard);

}

注意：这是一个动态链接库文件。

在程序中要想调用“钩子”的时候，有EnableKeyboardCapture()函数就可以啦，但你按键的时候就回发出声音。

介绍通用Hook的一点思想：

在系统内核级中，MS的很多信息都没公开，包括函数的参数数目，每个参数的类型等。在系统内核中，访问了大量的寄存器，而很多寄存器的值，是上层调用者提供的。如果值改变系统就会变得不稳定。很可能出现不可想象的后果。另外有时候对需要Hook的函数的参数不了解，所以不能随便就去改变它的堆栈，如果不小心也有可能导致蓝屏。所以Hook的最佳原则是在自己的Hook函数中呼叫原函数的时候，所有的寄存器值，堆栈里面的值和Hook前的信息一样。这样就能保证在原函数中不会出错。一般我们自己的Hook的函数都是写在C文件里面的。例如Hook的目标函数KiReadyThread。

那么一般就自己实现一个：

MyKiReadyThread（...）{......call KiReadyThread......}

但是用C编译器编译出来的代码会出现一个堆栈帧:

Push ebpmov ebp，esp

这就和我们的初衷不改变寄存器的数违背了，所以我们可以自己用汇编来实现MyKiReadyThread。

_func@0 procpushad 保存通用寄存器call _cfunc@0 这里是在进入原来函数前进行的一些处理。popad 恢复通用寄存器push eax mov eax，esp+4 得到系统在call 目标函数时入栈的返回地址。mov ds:_OrgRet，eax 保存在一个临时变量中pop eaxmov esp，retaddr 把目标函数的返回地址改成自己的代码空间的返回地址，使其返回后能接手继续的处理jmp _OrgDestFunction 跳到原目标函数中retaddr:pushad 原函数处理完后保存寄存器call _HookDestFunction@0 再处理popad 回复寄存器jmp ds:_OrgRet 跳到系统调用目标函数的下一条指令。_func@0 endp

当我们要拦截目标API的时候，只要修改原函数头5个字节的机器为一个JMP_func就行了。然后把原来的5字节保存，在跳入原函数时，恢复那5个字节即可。

Hook KiReadyThread检测系统中的进程：

在线程调度抢占的的时候会调用KiReadyThread，它的原型为VOID FASTCALL KiReadyThread (IN PRKTHREAD Thread)，在进入KiReadyThread时，ecx指向Thread。所以完全可以Hook KiReadyThread 然后用ecx的值得到但前线程的进程信息。KiReadyThread没被ntosknrl.exe导出，所以通过硬编码来。在2000Sp4中地址为0x8043141f。

具体实现：

// 1.cpp

#ifdef __cplusplusextern ((Access)14) ((Function)2) (Method) /)
#define FILE_ANY_ACCESS 0
#define METHOD_BUFFERED 0
#define FILE_DEVICE_UNKNOWN 0x00000022
#define IOCTL_PASSBUF /CTL_CODE(FILE_DEVICE_EVENT， 0x802， METHOD_BUFFERED， FILE_ANY_ACCESS)
int()
{
HANDLE hDevice bool status ULONG dwReturnchar outbuf12916hDevice = NULL;
m_hCommEvent = NULL;
hDevice = CreateFile( ".//MyEvent"，GENERIC_READGENERIC_WRITE，FILE_SHARE_READ FILE_SHARE_WRITE， NULL，OPEN_EXISTING， FILE_ATTRIBUTE_NORMAL， NULL);
if(hDevice == INVALID_HANDLE_VALUE)
{
printf("createfile wrong/n");
getchar();
return 0;}
while(1)
{
memset(outbuf，0，12916);
status = DeviceIoControl(hDevice，IOCTL_PASSBUF，NULL，0，outbuf，12816，dwReturn，NULL);
if( !status)
{
printf("IO wrong+%d/n"， GetLastError());
getchar();
return 0;
}
int c=0;
while( ((char)(outbuf)+c16) )
{
//把csrss.exe和自身进程信息跳过，因为会产生有大量的信息。
if ( strcmp((char)(outbuf)+c16，"app.exe")/strcmp((char)(outbuf)+c16，"csrss.exe") )
printf("%s/n"，(char)(outbuf)+c16);
c++;
}
Sleep(1);
}
}

试验结果：

......TTPlayer.exeSystemTTPlayer.exevrvmon.exeTTPlayer.exeSystemSystemExplorer.EXEExplorer.EXEExplorer.EXE......

测试、编译环境Windows2000 Sp4、Windows2000 DDK。没写出线程的隐藏进程代码，不过基本上实现得差不多了，只需要把返回的信息，和Ring3级查询得到的信息进行适时对比就能查出异常进程了。

jiangxinyu

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
对于HOOK函数的一点认识

这种函数是Windows消息处理机制的一部分，通过设置“钩子”，应用程序可以在系统级对所有消息、事件进行过滤，访问在正常情况下无法访问的消息。当然，这么做也是需要付出一定的代价的。由于多了这么一道处理过程，系统性能会受到一定的影响，所以大家在必要的时候才使用“钩子”，并在使用完毕及时将其删除。　　首先让我们看看HOOK函数是怎么安装、调用和删除的。应用程序通常是调用SetWindowsHookEx
复制链接

扫一扫