<寒江独钓>学习笔记 -- 第四章 Hook分发函数 过滤键盘输入

最新推荐文章于 2022-01-18 09:18:04 发布
最新推荐文章于 2022-01-18 09:18:04 发布
阅读量2.1k 收藏 2
点赞数
分类专栏： windows内核 寒江独钓 hook分发函数 文章标签： hook delay object keyboard function attributes
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lup7in/article/details/7015497
版权

转载请注明出处：http://blog.csdn.net/lup7in/article/details/7015497

最近在学习windows内核编程，下面是《寒江独钓》第四章hook分发函数过滤键盘输入的源代码，书上没有提供完整的代码，经过调试完成了这部分代码，下面把代码分享出来，有不对的地方，希望大牛指教。

#include <ntddk.h> 
#include <ntddkbd.h>
#define NTSTRSAFE_LIB
#include <Ntstrsafe.h>


extern POBJECT_TYPE IoDriverObjectType;




#define KBD_DRIVER_NAME L"\\Driver\\Kbdclass"


//用于延时的宏定义
#define DELAY_ONE_MICROSECOND (-10)
#define DELAY_ONE_MILLISECOND (DELAY_ONE_MICROSECOND * 1000)
#define DELAY_ONE_SECOND (DELAY_ONE_MILLISECOND * 1000)


//表示几个特殊键的宏
#define S_SHIFT 0x01//shift键
#define S_CAPS  0x02//大写锁定键
#define S_NUM   0x04//数字锁定键


ULONG gC2pKeyCount = 0;


unsigned char asciiTbl[]={
0x00, 0x1B, 0x31, 0x32, 0x33, 0x34, 0x35, 0x36, 0x37, 0x38, 0x39, 0x30, 0x2D, 0x3D, 0x08, 0x09,//normal
0x71, 0x77, 0x65, 0x72, 0x74, 0x79, 0x75, 0x69, 0x6F, 0x70, 0x5B, 0x5D, 0x0D, 0x00, 0x61, 0x73,
0x64, 0x66, 0x67, 0x68, 0x6A, 0x6B, 0x6C, 0x3B, 0x27, 0x60, 0x00, 0x5C, 0x7A, 0x78, 0x63, 0x76,
0x62, 0x6E, 0x6D, 0x2C, 0x2E, 0x2F, 0x00, 0x2A, 0x00, 0x20, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x37, 0x38, 0x39, 0x2D, 0x34, 0x35, 0x36, 0x2B, 0x31,
0x32, 0x33, 0x30, 0x2E,
0x00, 0x1B, 0x31, 0x32, 0x33, 0x34, 0x35, 0x36, 0x37, 0x38, 0x39, 0x30, 0x2D, 0x3D, 0x08, 0x09,//caps
0x51, 0x57, 0x45, 0x52, 0x54, 0x59, 0x55, 0x49, 0x4F, 0x50, 0x5B, 0x5D, 0x0D, 0x00, 0x41, 0x53,
0x44, 0x46, 0x47, 0x48, 0x4A, 0x4B, 0x4C, 0x3B, 0x27, 0x60, 0x00, 0x5C, 0x5A, 0x58, 0x43, 0x56,
0x42, 0x4E, 0x4D, 0x2C, 0x2E, 0x2F, 0x00, 0x2A, 0x00, 0x20, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x37, 0x38, 0x39, 0x2D, 0x34, 0x35, 0x36, 0x2B, 0x31,
0x32, 0x33, 0x30, 0x2E,
0x00, 0x1B, 0x21, 0x40, 0x23, 0x24, 0x25, 0x5E, 0x26, 0x2A, 0x28, 0x29, 0x5F, 0x2B, 0x08, 0x09,//shift
0x51, 0x57, 0x45, 0x52, 0x54, 0x59, 0x55, 0x49, 0x4F, 0x50, 0x7B, 0x7D, 0x0D, 0x00, 0x41, 0x53,
0x44, 0x46, 0x47, 0x48, 0x4A, 0x4B, 0x4C, 0x3A, 0x22, 0x7E, 0x00, 0x7C, 0x5A, 0x58, 0x43, 0x56,
0x42, 0x4E, 0x4D, 0x3C, 0x3E, 0x3F, 0x00, 0x2A, 0x00, 0x20, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x37, 0x38, 0x39, 0x2D, 0x34, 0x35, 0x36, 0x2B, 0x31,
0x32, 0x33, 0x30, 0x2E,
0x00, 0x1B, 0x21, 0x40, 0x23, 0x24, 0x25, 0x5E, 0x26, 0x2A, 0x28, 0x29, 0x5F, 0x2B, 0x08, 0x09,//caps + shift
0x71, 0x77, 0x65, 0x72, 0x74, 0x79, 0x75, 0x69, 0x6F, 0x70, 0x7B, 0x7D, 0x0D, 0x00, 0x61, 0x73,
0x64, 0x66, 0x67, 0x68, 0x6A, 0x6B, 0x6C, 0x3A, 0x22, 0x7E, 0x00, 0x7C, 0x7A, 0x78, 0x63, 0x76,
0x62, 0x6E, 0x6D, 0x3C, 0x3E, 0x3F, 0x00, 0x2A, 0x00, 0x20, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x37, 0x38, 0x39, 0x2D, 0x34, 0x35, 0x36, 0x2B, 0x31,
0x32, 0x33, 0x30, 0x2E
};


//储存旧的分发函数的数组
PDRIVER_DISPATCH OldMajorFunction[IRP_MJ_MAXIMUM_FUNCTION+1];


//用于根据驱动名称打开驱动对象 这个函数文档没公布 所以要声明一下
NTSTATUS ObReferenceObjectByName(
PUNICODE_STRING ObjectName,
ULONG Attributes,
PACCESS_STATE AccessState,
ACCESS_MASK DesiredAccess,
POBJECT_TYPE ObjectType,
KPROCESSOR_MODE AccessMode,
PVOID ParseContext,
PVOID *Object
);


PDRIVER_OBJECT pKbdDriverObject = NULL;
UNICODE_STRING uniNtNameString;


//打开驱动对象的函数
NTSTATUS OpenKbdDriver()
{
NTSTATUS status;
RtlInitUnicodeString(&uniNtNameString,KBD_DRIVER_NAME);
status = ObReferenceObjectByName(&uniNtNameString,OBJ_CASE_INSENSITIVE,NULL,0,IoDriverObjectType,KernelMode,NULL,&pKbdDriverObject);
if(NT_SUCCESS(status))
{
ObDereferenceObject(pKbdDriverObject);
DbgPrint("open the kbd driver success!");
}
else
{
DbgPrint("open the kbd driver fail!");
}
return status;
}


static int kb_status = S_NUM;
//用于打印实际按键字符的函数 
//2011/11/10
void _stdcall print_keystroke(UCHAR sch,USHORT Flags)
{
UCHAR ch = 0;
int off = 0;
//kb_status = S_NUM;
//DbgPrint("%x\n",sch);
//按下
if(Flags == KEY_MAKE/*(sch & 0x80) == 0*/)
{
switch(sch)
{
case 0x3A:
kb_status ^= S_CAPS;
break;
case 0x2A:
case 0x36:
kb_status |= S_SHIFT;
break;
case 0x45:
kb_status ^= S_NUM;
break;
}
}
else if(Flags == KEY_BREAK) //弹起
{
if(sch == 0x2A || sch == 0x36)
kb_status &= ~S_SHIFT;
}


if(kb_status & S_CAPS)
{
off = 84 * 1;
}
if(kb_status & S_SHIFT)
{
off = 84 * 2;
}
if((kb_status & S_SHIFT) && (kb_status & S_CAPS))
{
off = 84 * 3;
}
//DbgPrint("%d\n",off);


if((sch < 0x47) || ((sch >= 0x47 && sch < 0x54) && (kb_status & S_NUM)))
{
ch = asciiTbl[off + sch];
}
if(Flags == KEY_MAKE){
if(ch >= 0x20 && ch < 0x7F)
{
DbgPrint("%C\n",ch);
}
}
}


NTSTATUS c2pReadComplete(
    PDEVICE_OBJECT  DeviceObject,
    PIRP  Irp,
    PVOID  Context
    )
{
PIO_STACK_LOCATION IrpSp;
ULONG buf_len = 0;
//systembuffer 的数据结构形式 是一个结构体 KEYBOARD_INPUT_DATA
PUCHAR buf = NULL;
size_t i;
ULONG numKeys = 0;
PKEYBOARD_INPUT_DATA KeyData = NULL;


IrpSp = IoGetCurrentIrpStackLocation(Irp);


//如果成功
if(NT_SUCCESS(Irp->IoStatus.Status))
{
//获取读请求完成后的输出缓冲区
buf = Irp->AssociatedIrp.SystemBuffer;
KeyData = (PKEYBOARD_INPUT_DATA)buf;
//获得缓冲区长度
buf_len = Irp->IoStatus.Information;
numKeys = buf_len / sizeof(KEYBOARD_INPUT_DATA);
for(i = 0;i < numKeys;i++)
{
//打印出一些按键信息
//DbgPrint("numKeys:%d",numKeys);
//DbgPrint("ScanCode:%x",KeyData->MakeCode);
//DbgPrint("%s\n",KeyData->Flags ? "UP" : "DOWN");
print_keystroke((UCHAR)KeyData->MakeCode,KeyData->Flags);
//这里是一个小实验 当用户按下ctrl键时 
//把其扫描码改成大写锁定键CAPS_LOCK的扫描码
//当按下ctrl键时就会启动大写锁定
//这说明按键是可以被截获并且人为修改的
//if(KeyData->MakeCode == LCONTROL)
//{
// KeyData->MakeCode = CAPS_LOCK;
//}
}


//这里可以做其他事情
//打印按键的扫描码
//for(i = 0;i < buf_len;i++)
//{
// DbgPrint("ctrl2cap:%2x\r\n",buf[i]);
//}
}
gC2pKeyCount--;
//DbgPrint("count:%d",gC2pKeyCount);
if(Irp->PendingReturned)
{
IoMarkIrpPending(Irp);
}
return Irp->IoStatus.Status;
}


//自己写的分发函数 
NTSTATUS MyDispatchFunction (
    IN PDEVICE_OBJECT DeviceObject,
    IN PIRP Irp
)
{
PUCHAR buf = NULL;
ULONG buf_len = 0;
ULONG i;
PIO_STACK_LOCATION irpsp = IoGetCurrentIrpStackLocation(Irp);
//如果是读请求 就hook之
if(irpsp->MajorFunction == IRP_MJ_READ)
{
irpsp->Control = SL_INVOKE_ON_SUCCESS | SL_INVOKE_ON_ERROR | SL_INVOKE_ON_CANCEL;
//保留原来的完成函数，如果有的话
irpsp->Context = irpsp->CompletionRoutine;
irpsp->CompletionRoutine = (PIO_COMPLETION_ROUTINE)c2pReadComplete; 
//DbgPrint("已设置回调函数.../n");
gC2pKeyCount++;
//DbgPrint("count:%d",gC2pKeyCount);
//调用原来的分发函数，完成应该有的内容
return OldMajorFunction[irpsp->MajorFunction](DeviceObject,Irp);
}
else
{
return OldMajorFunction[irpsp->MajorFunction](DeviceObject,Irp);
}
}


//替换分发函数指针的函数
VOID ReplaceDispatch()
{
ULONG i;
for(i = 0;i < IRP_MJ_MAXIMUM_FUNCTION + 1;i++)
{
//保存分发函数指针
OldMajorFunction[i] = pKbdDriverObject->MajorFunction[i];
//把分发函数指针设置成我们自己写的分发函数 这个函数替换指针是原子操作 防止替换时被打断
InterlockedExchangePointer(&pKbdDriverObject->MajorFunction[i],MyDispatchFunction);
DbgPrint("replace successful!");
}
}


//恢复分发函数指针的函数
VOID ReSetDispatchFunction()
{
ULONG i;
for(i = 0;i < IRP_MJ_MAXIMUM_FUNCTION + 1;i++)
{
InterlockedExchangePointer(&pKbdDriverObject->MajorFunction[i],OldMajorFunction[i]);
DbgPrint("reset dispatch function success!");
}
}


//卸载函数
//2011/11/19
VOID HookDispatchUnload(IN PDRIVER_OBJECT DriverObject)
{
PDEVICE_OBJECT DeviceObject;
PRKTHREAD pCurrentThread;
LARGE_INTEGER lDelay;


lDelay = RtlConvertLongToLargeInteger(100 * DELAY_ONE_MILLISECOND);
pCurrentThread = KeGetCurrentThread();
//把线程设置成低实时模式 减少对其他程序的影响
KeSetPriorityThread(pCurrentThread,LOW_REALTIME_PRIORITY);


UNREFERENCED_PARAMETER(DriverObject);
KdPrint(("DriverEntry unLoading...\n"));


//恢复分发函数指针
ReSetDispatchFunction();


while(gC2pKeyCount)
{
KeDelayExecutionThread(KernelMode,FALSE,&lDelay);
}
KdPrint(("DriverEntry unLoad OK!\n"));
}


//入口函数
NTSTATUS DriverEntry( 
     PDRIVER_OBJECT  DriverObject,
     PUNICODE_STRING  RegistryPath 
    )
{
NTSTATUS status;
DriverObject->DriverUnload = HookDispatchUnload;
//打开键盘内核对象
status = OpenKbdDriver();
if(NT_SUCCESS(status))
{
//替换分发函数
ReplaceDispatch();
}
return status;
}
lup7in
关注
专栏目录
<寒江独钓>Windows内核安全编程__键盘过滤之内核级Hook(二)
The New Old Things
10-17 3757
Windows内核安全编程__键盘过滤内核级Hook(二) 如果不想让键盘过滤驱动程序或回调函数首先获得按键，则必须比端口驱动更加底层一些。 早期版本的QQ反盗号驱动的原理是这样的：用户要输入密码时（比如把输入焦点移动到了密码框里），就注册一个中断服务来接管键盘中断，比如0x
<寒江独钓>Windows内核安全编程__传统键盘过滤程序
The New Old Things
10-13 4629
技术原理 1.预备知识 何为符号链接？符号链接其实就是设备的一个“别名”。在应用程序中想要访问设备一般要通过符号链接来完成，而不是设备名本身。 ZwCreateFile是很重要的函数。同名的函数有两个：一个在内核中(ntknos.exe)，一个在应用层（ntdll.dll）
寒江独钓源代码
02-28
寒江独钓全部的源代码。对学习寒江独钓十分有帮助
寒江独钓 第四章 按键信息 扫描码和Ascii码
流星的专栏
11-26 1096
4.4.1从缓冲区中获得KEYBOARD_INPUT_DATA     请求完成之后,读到的信息在Irp->AssociatedIrp.SystemBuffer中,这个缓冲区可能含有n个KEYBOARD_INPUT_DATA结构     这个结构定义如下 typedef struct _KEYBOARD_INPUT_DATA{ //对设备\Device\Keyboa
寒江独钓：键盘的过滤 学习笔记
weixin_30819085的博客
04-30 164
先来名词热身： 一、符号链接：其实就是一个别名。可以用一个不同的名字来代表一个设备对象 二、PDO：是物理设备对象，可以理解为是设备栈最下面的那个设备对象。 函数介绍： 内核中：ZwCreateFile是很重要的函数，不但可以打开文件，还可以打开设备对象。在应用程序中跟它对应的是CreateFile函数.. 接下来是记录Windows如何获得按键，然后传递给各个应用程序。 csrss这...
HOOK分发函数实现截获键盘输入
yiyefangzhou24的专栏
03-03 3485
<br />关心我的同志们可能又要说了，哈哈，这个菜鸟又要发话了，嘿嘿，我菜鸟我荣幸。<br />最近的编程走向白热化，因为刚开学，所以时间比较多，所以经常泡图书馆。下决心这学期一定搞定内核级编程，大话放出去了，实现与否还得看造化了。<br />刚刚迈入驱动程序设计的老高的门槛，发现原来困难重重，内核程序设计不同于一般的用户层的接口程序设计，有大量的帮助资料，网上的，MSDN，论坛里的，各种各样，连绵不绝。到了内核态，帮助资料也少了，论坛的回复也少了，错误也比以前更难调试了，所以一下子不知道咋办，手足无措，
windows7 《寒江独钓》传统键盘过滤驱动学习
GamerMonstor的博客
08-01 946
本人驱动方面小白一枚，如果有什么不足之处与不正确之处还请各位大佬多多指正。 另外，本篇博客参考了以下博客，非常感谢原作者的分享！我在学习的时候真的受到了很大的帮助！ IRP相关： http://blog.csdn.net/whatday/article/details/7106721 http://bbs.fishc.com/thread-59944-1-1.html http://blo
寒江独钓--windows内核安全编程光盘源码_寒江独钓windows内核安全编程_
09-30
《寒江独钓--Windows内核安全编程》是一份深入探讨Windows操作系统内核安全编程的珍贵资源，由知名技术专家“寒江独钓”编著。这份资料包含了丰富的Windows内核驱动开发实例，覆盖了从磁盘驱动、文件系统驱动到网络...
<寒江独钓>Windows内核安全编程__键盘过滤之内核级Hook（一）
The New Old Things
10-14 5525
Hook分发函数 前一篇文章讲述了进行键盘过滤，截取用户输入的方法。本篇文章开始更加深入地讨论键盘的过滤与反过滤对抗。无论是过滤还是饭过滤，原理都是过滤，取胜的关键在于谁第一个得到信息。 一种方发是Hook分发函数，即将键盘驱动的分发函数替换成自己的函数用来达到过滤的目的。
<寒江独钓>Windows内核安全编程__Ramdisk源码解读
The New Old Things
10-20 4737
这篇文章来介绍一下WDK中提供的一个案例源码--Ramdisk虚拟磁盘。这个例子实现了一个非分页内存做的磁盘储存空间，并将其以一个独立磁盘的形式暴露给用户，用户可以将它格式化成一个Windows能够使用卷，并且像操作一般的磁盘卷一样对它进行操作。由于使用了内存作为虚拟的存储介质，使这个磁盘具有一个显著的特点，性能的提高。这个例子所使用的微软WDF驱动框架。 入口函数 1.入口函数的定义 任何
寒江独钓源码
06-23
寒江独钓源码，需要的可以看看.很值得一看的好代码
寒江独钓源代码寒江独钓随书光盘代码
06-25
寒江独钓新书源代码，请大家测试下载学习。。。。。。。。。。
寒江独钓-windows内核安全编程-源代码
10-15
寒江独钓-windows内核安全编程一书的所有源码
寒江独钓windows内核安全编程源码
08-01
寒江独钓windows内核安全编程源码 ，学习驱动开发好资料
寒江独钓-Windows内核安全编程笔记-第4章代码
张拓的博客
07-14 838
#ifndef __CTRL2CAP_H__ #define __CTRL2CAP_H__ #pragma once typedef struct _C2P_DEV_EXT { // 结构的大小 ULONG NodeSize; // 过滤设备对象 PDEVICE_OBJECT pFilterDeviceObject; // 同时调
寒江独钓-Windows内核安全编程笔记-第3章代码和笔记
张拓的博客
07-10 843
第3章代码  // #include #include #define NTSTRSAFE_LIB #include #define CPP_MAX_COM_ID 32 #define DELAY_ONE_MICROSECOND (-10) #define DELAY_ONE_MILLISECOND (DELAY_ONE_MICROSECOND*1000)
windows键盘过滤
仙人Immortal的博客
01-18 516
windows键盘过滤 #include <ntddk.h> #include <ntddkbd.h> extern POBJECT_TYPE *IoDriverObjectType; typedef struct _DEV_EXT { //结构大小 ULONG uNodeSize; //过滤设备 PDEVICE_OBJECT pFltDevObj; //自旋锁 KSPIN_LOCK lockRequests; //同步事件 KEVENT eventProgres
Windows NT如何处理I/O完成
windowzhong的专栏
06-11 1045
以前我们描述了在内核中如何“创建你的IRPs”（roll your own IRPs）来执行I/O操作。这是一个很强大的技术，对于那些编写设备驱动程序，文件系统驱动程序和过滤器驱动程序的人是非常有用的。这次我们讨论I/O管理器如何完成IRPs。虽然看起来是个简单的话题，但是它包含了许多细微的主题。如果你没有完全理解I/O完成，你的驱动程序会面临危险。例如，回顾在编写驱动程序代码时我们经常遇
寒江独钓windows内核编程源码
最新发布
07-02
总之，《寒江独钓Windows内核编程源码》是一本值得学习的经典书籍，通过学习该书，读者可以从理论和实践两个方面全面提升自己的内核编程能力。 ### 回答2： 寒江独钓Windows内核编程源码，这是指在Windows操作系统...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值