钩子的应用: 程序运行监视

 

钩子的应用: 程序运行监视

 

 作者：Victor Chen
来自：C++ 爱好者
http://www.cppfans.com

--------------------------------------------------------------------------------

程序介绍:

利用这个程序:
1.可以监视在你的电脑运行的程序, 把在你的电脑运行过的程序的时间和名字记录下来;
2.可以阻止你规定的禁用程序的执行, 比如不让玩游戏。
3.这个程序需要加入注册表, 在系统启动时就运行, 达到监视的目的。注册表大概都不陌生，就是这里:
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run

程序的记录格式:

2003-02-03 17:31:25 - [System Startup - Windows XP 5.01.2600]
2003-02-03 17:31:29 "CabinetWClass" -> "我的电脑"
2003-02-03 17:31:59 "Red Alert" -> "Red Alert" (关闭禁用程序)
2003-02-03 17:32:19 "扫雷" -> "扫雷" (关闭禁用程序)
2003-02-03 17:32:35 "OpusApp" -> "Microsoft Word"
2003-02-03 17:32:50 - [System Shutdown - 0 days, 0 hrs, 1 mins, 25 secs]

2003-02-03 17:35:37 - [System Startup - Windows 98 SE 4.10.2222]
2003-02-03 17:35:53 "扫雷" -> "扫雷" (关闭禁用程序)
2003-02-03 17:36:05 "CabinetWClass" -> ""
2003-02-03 17:36:31 "Red Alert" -> "Red Alert" (关闭禁用程序)
2003-02-03 17:36:56 "ExploreWClass" -> ""
2003-02-03 17:37:07 - [System Shutdown - 0 days, 0 hrs, 1 mins, 30 secs]

程序运行只需要3个文件:
hwhpapp.exe 可执行文件
hwhpdrv.dll 安装钩子的动态链接库
hwhpapp.cfg 禁用软件黑名单, 可用记事本修改
程序运行会自动产生记录文件:
hwhpapp.sys 可以用记事本打开看

程序原理:

一．钩子
利用 API 函数 SetWindowsHookEx() 安装一个全局钩子, 钩子类型为 WH_SHELL。
WH_SHELL 钩子可监视所有应用程序的主窗口创建或者关闭。
最典型的应用就是 Windows 的状态栏，当程序运行时，把主窗口的标题加入状态栏，程序退出时，从状态栏删除。
如果你截获这个钩子，可以做到禁止状态栏的显示，也可以自己作一个状态栏，或者作一个历史记录，把所有在你电脑曾经运行的程序记录下来。如果运行的程序不是你希望的，你可以直接关闭这个程序，达到禁止运行的目的。

二．动态链接库
由于钩子是全局的，必须把这个钩子定义到 .DLL 的动态链接库里，这就涉及到建立动态链接库。

三．共享内存
由于钩子是安装到系统里的，钩子的运行是在操作系统里面，因此这个钩子不能使用你的程序所定义的任何全局变量！
既然如此，有什么办法解决呢？在本程序里利用共享内存技术，利用 API 函数 CreateFileMapping() 可创建共享内存，这个内存可以在任何运行的程序中使用，也就是说任何运行的 .EXE、.DLL 和其他程序都可以使用这块内存。在本程序中直接使用了 Victor 串口 VCL 控件里的 TSharedMemory 共享内存类。

四．记录文件和软件黑名单文件
把所有在你的电脑执行的程序记录保存在一个文本文件里, 因为扩展名为 .txt 很容易被发现，因此采用扩展名 .sys
软件黑名单文件保存在 .cfg 文件里，同样因为 .ini 文件很容易发现并且打开修改。
这两个文件都保存在与你的 .exe 文件的相同文件夹里，并且与 .exe 文件同名.

五．保证你的程序只能同时运行一个
如果你同时运行两个程序，记录文件就会乱套，所以必须保证只能运行一个。
当你的程序刚开始运行的时候，就是在 WinMain() 函数的最开始，就要判断是否已经运行了，如果已经运行，就直接退出。
判断的方法很简单，就是检查程序共享的内存是否存在，如果检查到共享的内存已经存在，那就是已经运行了。

六．程序隐身, 不能显示在任务栏和任务管理器里面
这个也很简单，只要在主程序的 Application->Run(); 前面加一句话：
SetWindowLong(Application->Handle, GWL_EXSTYLE, GetWindowLong(Application->Handle, GWL_EXSTYLE)|WS_EX_TOOLWINDOW);
就可以了。


--------------------------------------------------------------------------------

程序介绍
.DLL 文件：这是最关键的钩子的代码:

#include <vcl.h>
#include "yb_base.h" //Victor 串口控件里面的一个头文件

#define MYAPPMARK "VICTOR_APPMONI_20010612" //共享内存标志

class __export THookedProcs
{
    public:
        THookedProcs();
        ~THookedProcs();
        void WINAPI InitFuncs(void);
        void WINAPI UninitFuncs(void);
    private:
        HHOOK hThisHook; //保存钩子的句柄
        static LRESULT CALLBACK HookedShellProc(int nCode, WPARAM wParam, LPARAM lParam);
};

//定义共享的数据结构
typedef struct
{
   HHOOK hHook; //当前使用的 HOOK
//... 此处可增加其他共享的数据
} THookSharedData;

THookedProcs::THookedProcs()
{
   hThisHook = NULL;
}

THookedProcs::~THookedProcs()
{
    UninitFuncs();
}

void WINAPI THookedProcs::InitFuncs(void)
{
    UninitFuncs();
    hThisHook = SetWindowsHookEx(WH_SHELL, (HOOKPROC) HookedShellProc, HInstance, 0);
    TSharedMemory AppMem(MYAPPMARK,4096); //在 EXE 文件里共享的内存
    THookSharedData *HookSharedData = ((THookSharedData*)(AppMem.AppInfo->Data)); //共享的数据
    HookSharedData->hHook = hThisHook; //把 hThisHook 保存到共享内存里
}

void WINAPI THookedProcs::UninitFuncs(void)
{
    if(hThisHook)
    {
        UnhookWindowsHookEx(hThisHook);
        hThisHook = NULL;
    }
}

LRESULT CALLBACK THookedProcs::HookedShellProc(int nCode, WPARAM wParam, LPARAM lParam)
{
    TSharedMemory AppMem(MYAPPMARK, 4096); //使用在 .EXE 文件里共享的内存
    if(AppMem.Valid)if(AppMem.Exists) //如果共享内存存在
    {
        HWND hMainWnd = AppMem.AppInfo->hMainForm;

        if(hMainWnd)
        {
            if(nCode==HSHELL_WINDOWCREATED)
            {
                PostMessage(hMainWnd, WM_USERCMD, UC_WINHOOK, wParam);
            }
        }
    }
    //在 Hook 里无法调用 hThisHook, 必须用共享内存里面的 hHook
    THookSharedData *HookSharedData = ((THookSharedData*)(AppMem.AppInfo->Data)); //共享的数据
    return CallNextHookEx(HookSharedData->hHook, nCode, wParam, lParam);
}

--------------------------------------------------------------------------------

EXE文件主程序的代码:

WINAPI WinMain(HINSTANCE, HINSTANCE, LPSTR lpCmdLine, int)
{
    if(!AppMem.Valid)
    {
        return 1;
    }
    if(AppMem.Exists) //已经存在 (程序以前已经运行过了, 并且正在运行)
    {
        if(stricmp(lpCmdLine, "/SHOW")==0) //如果监测到命令行参数 /SHOW 就显示出已经运行的程序的主窗口
        {
            PostMessage(AppMem.AppInfo->hMainForm, WM_USERCMD, UC_SHOWWIN, 0);
        }
        return 0;
    }
    AppMem.ClearBuffer();

    try
    {
        Application->Initialize();
        Application->CreateForm(__classid(TFormMain), &FormMain);
        //下面的语句是防止显示在状态栏和任务管理器
        SetWindowLong(Application->Handle, GWL_EXSTYLE, GetWindowLong(Application->Handle, GWL_EXSTYLE)|WS_EX_TOOLWINDOW);
        Application->Run();
    }
    catch (Exception &exception)
    {
        Application->ShowException(&exception);
    }
    catch (...)
    {
        try
        {
            throw Exception("");
        }
        catch (Exception &exception)
        {
            Application->ShowException(&exception);
        }
    }
    return 0;
}


--------------------------------------------------------------------------------

主窗口程序：

TSharedMemory AppMem(MYAPPMARK, 4096); //定义共享的内存，这个内存是真正存在的

__fastcall TFormMain::TFormMain(TComponent* Owner)
: TForm(Owner)
{
    AppMem.AppInfo->hMainWnd = Application->Handle;
    AppMem.AppInfo->hMainForm = Handle;
    WriteStartupMessage(); //在记录文件里加入启动信息
    PostMessage(Handle, WM_USERCMD, UC_INITWIN, 0);

    MyHook = new THookedProcs;
    MyHook->InitFuncs(); //安装钩子
}
//---------------------------------------------------------------------------
__fastcall TFormMain::~TFormMain()
{
    MyHook->UninitFuncs(); //删除钩子
    delete MyHook;
}
//---------------------------------------------------------------------------
void __fastcall TFormMain::FormCloseQuery(TObject *Sender, bool &CanClose)
{
    WriteShutdownMessage(); //在记录文件里加入退出信息
}
//---------------------------------------------------------------------------
// 本文转自 C++Builder研究 - http://www.ccrun.com/article.asp?i=491&d=5s77xy
void __fastcall TFormMain::WndProc(Messages::TMessage &Message)
{
    if(Message.Msg == WM_USERCMD)
    {
        if(Message.WParam == UC_SHOWWIN)
        {
            Show();
            AppMem.ActiveAppWnd();
        }
        else if(Message.WParam == UC_INITWIN)
        {
            Hide();
            Left = (Screen->Width - Width) / 2;
            Top = (Screen->Height - Height) / 2;
        }
        else if(Message.WParam == UC_WINHOOK)
        {
            WinHookMessage(Message.LParam);
        }
    }
    TForm::WndProc(Message);
}
//---------------------------------------------------------------------------

void __fastcall TFormMain::BnExitClick(TObject *Sender)
{
    Close();
}
//---------------------------------------------------------------------------

void __fastcall TFormMain::BnHideClick(TObject *Sender)
{
    Hide();
}
//---------------------------------------------------------------------------
void __fastcall TFormMain::CreateParams(Controls::TCreateParams &Params)
{
    TForm::CreateParams(Params);
    Params.Style = WS_OVERLAPPED|WS_DLGFRAME|WS_CAPTION|WS_SYSMENU;
    Params.ExStyle |= WS_EX_TOPMOST;
    Params.X = Screen->Width - 8;
    Params.Y = Screen->Height - 8;
}
//---------------------------------------------------------------------------
void __fastcall TFormMain::WinHookMessage(long Param)
{
    HWND hWnd = (HWND) Param;

    char szWinCaption[256];
    char szWinClass[256];
    AnsiString s;

    DateTimeX x;
    s += AnsiString().sprintf("%04d-%02d-%02d %02d:%02d:%02d ", x.Year, x.Month, x.Day, x.Hour, x.Minute, x.Second);

    if(!GetWindowText(hWnd, szWinCaption, 256))
    *szWinCaption = 0;
    if(!GetClassName(hWnd,szWinClass,256))
    *szWinClass = 0;
    s += "/"" + AnsiString(szWinClass) + "/" -> /"" + AnsiString(szWinCaption) + "/"";

    if(!ValidAppCheck(hWnd, szWinClass,szWinCaption))
    s += " (关闭禁用程序)";
    s += "/r/n";

    TBinFileFuncs::WriteLogFileInfo(TRelPath().Extension("sys").c_str(), s.c_str()); //与 .exe 同名的 .sys 文件
}
//---------------------------------------------------------------------------
void __fastcall TFormMain::WriteStartupMessage(void)
{
    AnsiString s;
    DateTimeX x = StartupTime;
    TSysInfo si;

    s += "========== Copyright (C) Victor Chen ===== Email: victor@cppfans.com ==========/r/n";
    s += AnsiString().sprintf("%04d-%02d-%02d %02d:%02d:%02d - ", x.Year, x.Month, x.Day, x.Hour, x.Minute, x.Second);
    s += AnsiString().sprintf("[System Startup - %s %d.%02d.%04d]", si.OS->OSName, si.OS->MajorVer, si.OS->MinorVer, si.OS->BuildNum);
    s += "/r/n";

    TBinFileFuncs::WriteLogFileInfo(TRelPath().Extension("sys").c_str(), s.c_str()); //与 .exe 同名的 .sys 文件
}
//---------------------------------------------------------------------------
void __fastcall TFormMain::WriteShutdownMessage(void)
{
    AnsiString s;
    DateTimeX x;
    TimeX t; t.S000 = (x - StartupTime) % (24*60*60);
    int d = (x - StartupTime) / (24*60*60);

    s += AnsiString().sprintf("%04d-%02d-%02d %02d:%02d:%02d - ", x.Year, x.Month, x.Day, x.Hour, x.Minute, x.Second);
    s += AnsiString().sprintf("[System Shutdown - %d days, %d hrs, %d mins, %d secs]", d, t.Hour, t.Minute, t.Second);
    s += "/r/n";

    TBinFileFuncs::WriteLogFileInfo(TRelPath().Extension("sys").c_str(), s.c_str()); //与 .exe 同名的 .sys 文件
}
//---------------------------------------------------------------------------
bool __fastcall TFormMain::ValidAppCheck(HWND hwnd, char *cls, char *cap)
{
    TBinFile f;
    f.FileName = TRelPath().Extension("cfg"); //与 .exe 同名的 .cfg 文件
    f.OpenMode = TBinFile::omRead; //准备读文件

    if(f.Exists) //如果文件存在
    {
        try
        {
            f.Active = true; //打开文件
            char aLine[2048];
            while(fgets(aLine,2000,f)) //读一行文本 (标准 C 函数)
            {
                if(strnicmp(aLine,"CLASS=",6)==0) //用类名识别
                {
                    TBinFileFuncs::DeleteSpaces(aLine+6,1,1); //去除空格
                    if(stricmp(aLine+6,cls)==0)
                    {
                        PostMessage(hwnd, WM_CLOSE, 0, 0); //关闭程序
                        return false;
                    }
                }
                else if(strnicmp(aLine,"CAPTION=",8)==0) //用标题识别
                {
                    TBinFileFuncs::DeleteSpaces(aLine+8,1,1); //去除空格
                    if(stricmp(aLine+8,cap)==0)
                    {
                        PostMessage(hwnd, WM_CLOSE, 0, 0); //关闭程序
                        return false;
                    }
                }
            }
        }
        catch(Exception &e)
        {
            //忽略错误提示, 也可以在此处把错误信息添加到一个错误信息文件
        }
    }
    return true;
}

--------------------------------------------------------------------------------
本程序包含两个工程文件：
hwhpdrv.bpr 创建 .DLL 动态链接库
hwhpapp.bpr 创建 .EXE 应用程序

下载完整的程序源代码 436,221 字节

相关下载：Victor 串口 VCL 控件(使用简单功能强大的免费串口控件) 这个程序用到这个控件里面的某些功能