Windows黑客基础(1):Hook本进程的消息

1.需要用到的函数

学过Windows编程的应该都知道，Windows的核心机制是消息机制，消息是操作系统告诉应用程序发生了什么事情，比如当用户移动了鼠标或者按键后，操作系统会通知应用程序

实际上在Windows下，我们可以监控操作系统发送给另外一个进程的消息，然后决定对这个消息怎么处理，比如继续发送，或者改变消息，或者不让这个消息发给应用程序，也可以让应用程序处理完消息后通知监控的进程 这些都依赖一个API，SetWindowsHookEx

HHOOK WINAPI SetWindowsHookEx(
  _In_  int idHook,
  _In_  HOOKPROC lpfn,
  _In_  HINSTANCE hMod,
  _In_  DWORD dwThreadId
);

idHook就是我们要监控的消息类型
lpfn是当我们收到这个消息后，要交给哪个函数去处理，函数的类型是HOOKPROC，这个函数定义在winuser.h里面，原型是
typedef LRESULT (CALLBACK* HOOKPROC)(int code, WPARAM wParam, LPARAM lParam);


hMod是我们函数所在模块，如果我们的函数是在DLL里面，那么我们需要两个API，一个是Loadlibrary，一个是GetProcAddress，前者映射一个DLL到我们的进程里面，后者则是从一个DLL
返回我们所需要的函数


dwThreadID是我们要监视的线程ID，如果是0的话就是系统钩子，也就是我们监视的进程所有消息都会获取
详细的解释请参考MSDN:
http://msdn.microsoft.com/en-us/library/windows/desktop/ms644990(v=vs.85).aspx

在我们截取到监视的进程的消息后，我们可以调用CallNextHookEx来将消息继续传递，当然也可以选择不让消息继续传递，如果我们不喜欢将该消息传递给监视的进程，就在函数里面return 1
，如果要把他发送给监视的进程，就return 0

2.截取本进程的消息

1.创建项目

 我们用VS创建一个WIN32项目，这样就默认给我们创建了一个接收消息的窗口，具体过程如下 (VS2008环境下):

文件->新建项目->选择WIN32项目，并且输入名称->点击确定

 进入向导后，直接点击完成，这样就创建了一个WIN32的默认项目，当然为了调试方便，我们需要对一些设置进行更改

 选中项目的属性，选择配置属性->链接器->系统->子系统，选择控制台

这样做的目的是为了方便我们可以直接利用cout输出调试信息

2.进行设置，方便调试

设置完成后编译会无法通过，因为WIN32项目默认main函数跟C++的main函数不一样，所以我们需要对main函数进行改造，将函数原型改成C++的默认形式后，通过GetModuleHandle获得本进程的hInstance，就可以了

接下来我们在Windows的消息处理函数里面增加处理KEYBOARD的代码:

 case WM_KEYDOWN:
  printf("按下按键\n");
  break;

接下来只要在程序开头调用我们的函数:

LRESULT CALLBACK KeyboardProc(int nCodec,WPARAM wParam,LPARAM lParam)
{
      cout<<"截取到键盘消息"<<endl;
    return 1;
    //return CallNextHookEx(hkb,nCodec,wParam,lParam);
}


void SetHook(HINSTANCE hMoudle)
{
    hkb = SetWindowsHookEx(WH_KEYBOARD_LL,
                           (HOOKPROC)KeyboardProc,
                           hMoudle,
                           0);
}

在程序调用SetHook后，就能拦截到我们进程的键盘消息
对于截取本进程的消息，代码并不复杂，10+行的代码就能拦截本进程的键盘消息，消息类型很多种，还有DEBUG消息，MOUSE消息等，都可以进行拦截