恶意代码分析实战—实验12-3

实验环境

实验设备环境：windows xp
实验工具：IDAPro

实验过程

首先我们采用IDA导入文件，查看imports窗口：

其调用了系统设置钩子函数，这个函数允许进程挂钩，也允许监控进程的API函数。
回到反汇编窗口，反汇编窗口中来到SetWindowsHookExA函数周围，其idhook参数表明此钩子是哪一种钩子，查看MSDN可以获知D用来监控键盘消息，lpfn是hook地址，fn启动了键盘监控，fn函数会接收击键记录。
接下来调用了getmessageA函数，此函数一定要调用，因为windows不会主动发送消息给进程函数。
此文件目的就是记录键盘信息，获知击键信息