ff.rar_钩子_钩子 消息

首先声明一下，标题所指的钩子是消息钩子，而不是API钩子（一种对API地址的替换技术）。若标题使您误解，请不要继续阅读。 消息钩子在Windows编程中有着非常广泛的应用，它可以任意拦截Windows系统，这个以消息为驱动的系统中的绝大多数消息类型。一方面这给编程者带来了巨大的灵活性，另一方面也埋下了巨大隐患，大多数窃密软件都使用这种方法。此篇文章给您提供一种钩子的反拦截方法，希望对您有所帮助。文章中使用了API钩子，您之前必须对此技术有一定了解。 为求完整，文章分为两部分，第一部分为消息钩子的使用，熟悉此技术的读者可以直接跳过此节。第二部分为消息钩子的反拦截。 一、消息钩子的使用。 消息钩子分为本地（local）和远程（remote）两种（两个local system-wide hook例外，无关主题，不多说了）。local类型的钩子函数只能拦截本进程的消息。能够拦截本进程以外的消息的钩子，都是remote类型。remote类型的钩子必须放在DLL里面。下面以remote类型为例，通过安装键盘钩子介绍其使用。 1、首先建立DLL，在头文件中添加如下代码。 #ifdef KM_EXPORTS #define KM_API __declspec(dllexport) #else #define KM_API __declspec(dllimport) #endif KM_API BOOL HookStart();//安装钩子 KM_API BOOL HookStop();//卸载钩子 2、在.cpp文件中添加代码 #pragma data_seg("Shared") HHOOK g_hhookKey=NULL; #pragma data_seg() #pragma comment(linker,"/SECTION:Shared,RWS") g_hhookKey为键盘钩子的句柄，为确保此数值在所有实例中均保持不变，将其存放于此模块所有实例的共享数据区，若在exe程序中按此格式添加一int 变量 appNum，在程序启动时appNum++，则可以通过访问此变量的数值，确定有多少个exe的实例，当然这种方法也可以替代同步对象用于只启动一个实例。 HINSTANCE g_hinstDll=NULL; //添加全局变量用于记录此DLL模块的句柄 BOOL APIENTRY DllMain( HANDLE hModule, DWORD ul_reason_for_call, LPVOID lpReserved ) { switch (ul_reason_for_call) { case DLL_PROCESS_ATTACH: g_hinstDll=(HINSTANCE)hModule;//在DLL加载时对全局变量赋值 .................. } } LRESULT KeyHookProc(int nCode,WPARAM wParam,LPARAM lParam)//键盘钩子的过滤函数 { ..................... return::CallNextHookEx(g_hhookKey,nCode,wParam,lParam);//*****请留意此行代码***** } BOOL HookStart()//安装钩子 { g_hhookKey=::SetWindowsHookEx(WH_KEYBOARD,(HOOKPROC)KeyHookProc,g_hinstDll, ::GetWindowThreadProcessId(::FindWindow(NULL,"被监视的窗口的标题"),NULL) ); return (g_hhookKey!=NULL); } BOOL HookStop()//卸载钩子 { BOOL ret; if(g_hhookKey!=NULL) ret=::UnhookWindowsHookEx(g_hhookKey); g_hhookKey=NULL; return ret; } 只要在exe程序中调用HookStart函数，就可以监视某一窗口的键盘消息，若此窗口为QQ的密码框，你的密码就泄漏了。 二、消息钩子的反拦截。 请留意前面带*号注释的代码，其中传入了钩子的句柄g_hhookKey，只要使用API钩子将CallNextHookEx函数替换，并在替换函数中将其卸载，消息钩子就完蛋了。同时，还要保证本进程安装的钩子不被卸载，其中既可能有local类型的还可能有remote类型的。不要以为自己没有在程序中安装钩子，程序中就一定没有安装钩子，在MFC4版本中，MFC会自己装一个local类型的钩子，MFC7版本中好像没了。好了，下面介绍其实现。 1、建立DLL，在头文件中添加如下代码。 #ifdef HOOKFORBID_EXPORTS #define HOOKFORBID_API __declspec(dllexport) #else #define HOOKFORBID_API __declspec(dllimport) #endif HOOKFORBID_API int fnHookForbid(void);//在exe程序中调用此函数，使DLL加载 HOOKFORBID_API bool AddHhook(HHOOK Hhook);//若exe中安装remote类型消息钩子，将其句柄添加 HOOKFORBID_API bool DelHhook(HHOOK Hhook);//在exe中卸载remote类型消息钩子时，删除其句柄 2、在.cpp文件中添加代码。 CArray<HHOOK,HHOOK> array;//用于记录本进程安装的钩子的句柄 ////////////////////////////////////////////////////////////////////////////// int fnHookForbid(void) { return 1; } bool AddHhook(HHOOK Hhook) { array.Add(Hhook); return true; } bool DelHhook(HHOOK Hhook) { bool ret=false; for(int i=0;i<array.GetSize();i++) { if(array.GetAt(i)==Hhook) { array.RemoveAt(i); ret=true; break; } } return ret; } ////////////////////////////////////////////////////////////////////////////// 下面的代码用于API替换，其中用到了CAPIHook 类，《Windows 核心编程》（Jeffrey Richter著）一书中有源代码。使用其它开发包也可以实现此功能。 ////////////////////////////////////////////////////////////////////////////// typedef HHOOK (WINAPI *PFNSETWINDOWSHOOKEX)( int idHook, HOOKPROC lpfn, HINSTANCE hMod, DWORD dwThreadId ); typedef LRESULT (WINAPI *PFNCALLNEXTHOOKEX)( HHOOK hhk, int nCode, WPARAM wParam, LPARAM lParam ); ////////////////////////////////////////////////////////////////////////////// extern CAPIHook g_SetWindowsHookExA; extern CAPIHook g_SetWindowsHookExW; extern CAPIHook g_CallNextHookEx; ////////////////////////////////////////////////////////////////////////////// //此函数用于替换SetWindowsHookEx函数的ASCII版本SetWindowsHookExA HHOOK WINAPI Hook_SetWindowsHookExA( int idHook, HOOKPROC lpfn, HINSTANCE hMod, DWORD dwThreadId ) { HHOOK nResult =0; nResult = ((PFNSETWINDOWSHOOKEX)(PROC) g_SetWindowsHookExA)( idHook, lpfn, hMod, dwThreadId ); //若在本进程中安装了local类型钩子，记录其句柄 if(hMod==NULL) array.Add(nResult); return(nResult); } //此函数用于替换SetWindowsHookEx函数的UNICODE版本SetWindowsHookExW HHOOK WINAPI Hook_SetWindowsHookExW( int idHook, HOOKPROC lpfn, HINSTANCE hMod, DWORD dwThreadId ) { HHOOK nResult =0; nResult = ((PFNSETWINDOWSHOOKEX)(PROC) g_SetWindowsHookExW)( idHook, lpfn, hMod, dwThreadId ); //若在本进程中安装了local类型钩子，记录其句柄 if(hMod==NULL) array.Add(nResult); return(nResult); } //此函数用于替换CallNextHookEx函数，此函数只有一个版本 LRESULT WINAPI Hook_CallNextHookEx( HHOOK hhk, int nCode, WPARAM wParam, LPARAM lParam) { LRESULT nResult =0; nResult = ((PFNCALLNEXTHOOKEX)(PROC) g_CallNextHookEx)( hhk, nCode, wParam, lParam ); //在数组中查找句柄，若找不到，将其卸载 bool bfind=false; for(int i=0;i<array.GetSize();i++) { if(array.GetAt(i)==hhk) { bfind=true; break; } } if(!bfind) { UnhookWindowsHookEx( hhk ); } return (nResult); } ////////////////////////////////////////////////////////////////////////////// //使用CAPIHook 类对函数进行替换 CAPIHook g_SetWindowsHookExA("User32.dll", "SetWindowsHookExA", (PROC) Hook_SetWindowsHookExA, true); CAPIHook g_SetWindowsHookExW("User32.dll", "SetWindowsHookExW", (PROC) Hook_SetWindowsHookExW, true); CAPIHook g_CallNextHookEx("User32.dll", "CallNextHookEx", (PROC) Hook_CallNextHookEx, true); 到了这里，所有工作都完成了，只要在exe程序中调用fnHookForbid函数，并在安装remote类型钩子时调用AddHhook函数记录其句柄，卸载时调用DelHhook函数删除句柄就万事ok了。 一点不足：这种方法可以有效屏蔽消息钩子对信息安全的威胁。可以使Spy++失效。然而，由于是在CallNextHookEx函数中卸载钩子，因此，钩子函数总是会被调用一次。还有一件非常费解的事，金山词霸总能够正常取词，不知道词霸是怎么做到的。 本人并非专业程序员， 若此方法存在任何错误或隐患，敬请批评指出，请不要在帖子上损我。