关于消息钩子链的读取问题说明: NtUserSetWindowsHookEx返回的HHOOK怎么换成PHOOK

最新推荐文章于 2023-01-29 19:47:36 发布

sunwang123456

最新推荐文章于 2023-01-29 19:47:36 发布

阅读量6.5k

点赞数

文章标签： object c

本文链接：https://blog.csdn.net/sunwang123456/article/details/532332

版权

本文介绍了如何将NtUserSetWindowsHookEx返回的HHOOK转换为PHOOK。关键在于找到win32k SSDT中NtUserUnhookWindowsHookEx的函数入口，调用HMValidateHandle@8地址实现转换。提供了一个汇编代码示例来演示转换过程。

摘要由CSDN通过智能技术生成

不少人问NtUserSetWindowsHookEx返回的HHOOK怎么换成PHOOK，这里说明一下。
主要是找到那个转换函数地址直接调用就是了。

原理:
找到 win32k ssdt的NtUserUnhookWindowsHookEx的函数入口，
直接取@HMValidateHandle@8 的地址

使用方法:

#define GetObjectFromHandle (handle,object)
{
__asm push ecx
__asm push edx
__asm mov ecx,handle
__asm mov dl,5
__asm call @HMValidateHandle@8
__asm mov object,eax
__asm pop edx
__asm pop ecx
}

/
//NtUserUnhookWindowsHookEx的代码
/
.text:A0013B47                         ; __stdcall NtUserUnhookWindowsHookEx(x)
.text:A0013B47                         _NtUserUnhookWindowsHookEx@4 proc near ; DATA XREF: .data:A016BD34o
.text:A0013B47
.text:A0013B47                         arg_0           = dword ptr 8
.text:A0013B47
.text:A0013B47 56                                      push    esi