AHOOKAPI（一）（一）——HOOK基础基础+一个鼠标钩子实例一个鼠标钩子实例
0x00 起因
最近在做毕业设计，有一个功能是需要实现对剪切板的监控和进程的防终止保护。原本想从内核层实现，但没有头
绪。最后决定从调用层入手，即采用HOOK API的技术来挂钩相应的API，从而实现预期的功能。在这样的需求下，就
开始学习了HOOK API。
0x01什么是HOOK API
HOOK（钩子，挂钩）是一种实现Windows平台下类似于中断的机制[24]。HOOK机制允许应用程序拦截并处理
Windows消息或指定事件，当指定的消息发出后，HOOK程序就可以在消息到达目标窗口之前将其捕获，从而得到对
消息的控制权，进而可以对该消息进行处理或修改，加入我们所需的功能。钩子按使用范围分，可分为线程钩子和系
统钩子，其中，系统钩子具有相当大的功能，几乎可以实现对所有Windows消息的拦截、处理和监控。这项技术涉及
到两个重要的API，一个是SetWindowsHookEx，安装钩子；另一个是UnHookWindowsHookEx，卸载钩子。
本文使用的HOOK API技术，是指截获系统或进程对某个API函数的调用，使得API的执行流程转向我们指定的代码
段，从而实现我们所需的功能。Windows下的每个进程均拥有自己的地址空间，并且进程只能调用其地址空间内的函
数，因此HOOK API尤为关键的一步是，设法将自己的代码段注入到目标进程中，才能进一步实现对该进程调用的API
进行拦截。然而微软并没有提供HOOK API的调用接口，这就需要开发者自己编程实现，大家所熟知的防毒软件、防
火墙软件等均采用HOOK API实现。
一般来说，HOOK API由两个组成部分，即实现HOOK API的DLL文件，和启动注入的主调程序。本文采用HOOK API
技术对剪切板相关的API 函数进行拦截，从而实现对剪切板内容的监控功能，同样使用该技术实现进程防终止功能。
其中DLL文件支持HOOK API的实现，而主调客户端程序将在初始化时把带有HOOK API功能的DLL随着鼠标钩子的加
载注入到目标进程中，这里的鼠标钩子属于系统钩子。
0x02 钩子的类型
1、按事件分类
有如下的几种常用类型
（1） 键盘钩子和低级键盘钩子可以监视各种键盘消息。
（2） 鼠标钩子和低级鼠标钩子可以监视各种鼠标消息。
（3） 外壳钩子可以监视各种Shell事件消息。比如启动和关闭应用程序。
（4） 日志钩子可以记录从系统消息队列中取出的各种事件消息。
（5） 窗口过程钩子监视所有从系统消息队列发往目标窗口的消息。
此外，还有一些特定事件的钩子提供给我们使用，不一一列举。
下面描述常用的Hook类型：
1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks
WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到窗口过程的消息。系统在消息发送到
接收窗口过程之前调用WH_CALLWNDPROC Hook子程，并且在窗口过程处理完消息之后调用
WH_CALLWNDPROCRET Hook子程。WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递
到Hook子程。CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与这个消息关联的消息
参数。
2、WH_CBT Hook
在以下事件之前，系统都会调用WH_CBT Hook子程，这些事件包括：
1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；
2. 完成系统指令；
3. 来自系统消息队列中的移动鼠标，键盘事件；
4. 设置输入焦点事件；
5. 同步系统消息队列事件。
Hook子程的返回值确定系统是否允许或者防止这些操作中的一个。
剩余14页未读，继续阅读
资源评论
