DLL注入-Windows消息钩取

Posted 2023-03-23 Zer0o

0x01 钩子

钩子，英文Hook，泛指钓取所需东西而使用的一切工具。后来延伸为“偷看或截取信息时所用的手段或工具”。

• 挂钩：为了偷看或截取来往信息而在中间设置岗哨的行为
• 钩取：偷看或操作信息的行为

0x02 消息钩子

敲击键盘时，消息会从OS（Operating System的简称）移动到应用程序，而消息钩子就是在这个过程中偷看信息。

下面以键盘信息为例

常规Windows消息流：
1、发生键盘输入事件时，WM_KEYDOWN消息被添加到[OS message queue]；
2、OS判断哪个应用程序中发生了事件，然后从[OS message queue]中取出消息，添加到相应应用程序的[application message queue]中；
3、应用程序监视自身的[application message queue]，发现新添加的WM_KEYDOWN消息后，调用相应的事件处理程序处理。
附带钩子的信息流：

1. 发生键盘输入事件，WM_KEYDOWN消息被添加到OS消息队列；
2. OS判断哪个应用程序发生了事件，从OS消息队列中取出消息，发送给应用程序；
3. 钩子程序截取信息，对消息采取一定的动作（因钩子目的而定）；
4. 如钩子程序不拦截消息，消息最终传输给应用程序，此时的消息可能经过了钩子程序的修改。

如下图，OS消息队列和应用程序消息队列之间存在一条钩链（Hook Chain），设置好键盘消息钩子后，处于钩链中的键盘消息钩子会比应用程序先一步看到相应信息。在键盘消息钩子函数的内部，除了可以查看消息之外，还可以修改消息本身，而且还能对消息实施拦截，阻止消息传递。可以同时设置多个相同的键盘消息钩子，按照设置的顺序依次调用，从而组成的链条称为钩链。

0x03 SetWindowsHookEx()

在Windows中可以使用SetWindowsHookEx()API来设置消息钩子，这个函数除了可以设置当前进程的钩子之外，它还可以设置全局钩子。全局钩子，顾名思义，即当前正在运行的进程都会被设置相应的钩子。

Windows API作用类似是一个个功能函数。

定义如下

HHOOK SetWindowsHookExA(
   int       idHook,      //hook type 钩子类型
   HOOKPROC  lpfn,        //hook procedure 回调函数地址
   HINSTANCE hMod,        //hook procedure所属的dll句柄
   DWORD     dwThreadId   //想要挂钩的线程PID
);

第一个参数表征钩子的类型，但钩子的类型是微软规定好的，你只能选一种，自己不能乱写
第二个参数是钩子执行程序，即当钩子勾到所需信息时运行的程序
第三个参数是要注入的dll句柄
第四个参数是想要挂载的线程ID，如果该参数为0，则表明钩子是一个全局钩子

HHOOK：返回值，钩子句柄，需要保留，等不使用钩子时通过UnhookWindowsHookEx函数卸载钩子。
idHook：钩子的拦截消息类型，选择钩子程序的拦截范围，具体值参考文章结尾的消息类型。
Lpfn：消息的回调函数地址，钩子子程的地址指针，一般是填函数名。
hMod：钩子函数所在的实例的句柄。对于线程钩子，该参数为NULL；对于系统钩子，该参数为钩子函数所在的DLL句柄。在dll中可通过AfxInitExtensionModule(MousehookDLL, hInstance)获得DLL句柄。
dwThreadId：钩子所监视的线程的线程号，可通过GetCurrentThreadId()获得线程号。对于全局钩子，该参数为NULL(或0)。

使用SetWindowsHookEx()设置好钩子后，在某个进程中生成指定消息时，OS会将相关的DLL文件强制注入相应的进程，然后调用注册的钩子过程。

0x04 键盘消息钩取练习

下面做一个简单练习，先看图

KeyHook.dll文件是一个含有钩子过程（KeyboardProc）的DLL文件，HookMain.exe是最先加载KeyHook.dll并安装键盘钩子的程序。HookMain.exe加载KeyHook.dll后使用SetWindowsHookEx()安装键盘钩子；若其他进程（如图中所示）发生键盘输入事件，OS就会强制将KeyHook.dll加载到像一个进程的内存，然后调用KeyboardProc()函数。
先分析源码

keyHook.cpp

//KeyHook.cpp
 
#include "stdio.h"
#include "windows.h"
 
//定义目标进程名为notepad.exe
#define DEF_PROCESS_NAME "notepad.exe"
 
//定义全局变量
HINSTANCE g_hInstance = NULL;
HHOOK g_hHook = NULL;
 
//DllMain()函数在DLL被加载到进程后会自动执行
BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD dwReason, LPVOID lpvReserved)
	switch( dwReason )
		case DLL_PROCESS_ATTACH:
			g_hInstance = hinstDLL;
			break;
 
		case DLL_PROCESS_DETACH:
			break;
	
 
	return TRUE;

 
//
LRESULT CALLBACK KeyboardProc(int nCode, WPARAM wParam, LPARAM lParam)
	char szPath[MAX_PATH] = 0,;
	char *p = NULL;
	
	if( nCode >= 0 )
 
		//释放键盘按键时，bit 31 : 0 => press, 1 => release
		if( !(lParam & 0x80000000) )
			GetModuleFileNameA(NULL, szPath, MAX_PATH);
			p = strrchr(szPath, \'\\\\\');
 
			//比较当前进程名称，若为notepad.exe，则消息不会传递给应用程序或下一个钩子函数
			//_stricmp()函数用于比较字符串，i表示不区分大小写，若两个值相等则返回0
			if( !_stricmp(p + 1, DEF_PROCESS_NAME) )
				return 1;
			
		
	
 
	//比较当前进程名称，若非notepad.exe，则消息传递给应用程序或下一个钩子函数
	return CallNextHookEx(g_hHook, nCode, wParam, lParam);

 
//在C++中调用C的库文件，用extern "C"告知编译器，因为C++支持函数重载而C不支持，两者的编译规则不同
#ifdef __cplusplus
extern "C"
#endif
	//__declspec，针对编译器的关键字，用于指出导出函数
	//当调用导出函数HookStart()时，SetWindowsHookEx()函数就会将KeyboardProc()添加到键盘钩链
	__declspec(dllexport) void HookStart()
		g_hHook = SetWindowsHookEx(WH_KEYBOARD, KeyboardProc, g_hInstance, 0);
	
 
	__declspec(dllexport) void HookStop()
		if(g_hHook)
			UnhookWindowsHookEx(g_hHook);
			g_hHook = NULL;
		
	
#ifdef __cplusplus

#endif

因为要生成的是KeyHook.dll文件，因而在开始创建项目时应先选择Win 32控制台应用程序，再到应用程序类型中勾选DLL，编写好cpp文件后选择Release再生成文件即可得到DLL文件。
当调用导出函数HookStart()时，SetWindowsHookEx()函数就会将KeyboardProc()添加到键盘钩链。安装好键盘钩子后，无论哪个进程，只要发生键盘输入事件，OS都会强制将KeyHook.dll注入相应的进程中。
KeyboardProc()函数中发生键盘输入事件时，会比较当前进程名称和“notepad.exe”是否一致，若一致则返回1，终止KeyboardProc()函数，即截获并删除消息，从而实现对notepad.exe程序的键盘输入事件进行钩取并截获删除、键盘消息不能传递到notepad.exe的消息队列中。

KeyboardProc()函数定义如下：

LRESULT CALLBACK KeyboardProc(
    int code,			//HC_ACTION(0), HC_NOREMOVE(3)
    WPARAM wParam,		//virtual-key code
    LPARAM lParam		//extra information
);

其中wParam指用户按下的键盘按键的虚拟键值。

HookMain.cpp

//HookMain
 
#include "stdio.h"
#include "windows.h"
//Console Input/Output，定义了通过控制台进行数据输入和数据输出的函数
//主要是一些用户通过按键盘产生的对应操作，比如getch()函数等等
#include "conio.h"
 
//定义一些常量
#define DEF_DLL_NAME "KeyHook.dll"
#define DEF_HOOKSTART "HookStart"
#define DEF_HOOKSTOP "HookStop"
 
//定义两个参数为空、返回值为void即没有的函数指针
typedef void (*PFN_HOOKSTART)();
typedef void (*PFN_HOOKSTOP)();
 
void main()
	//定义及初始化句柄变量和函数指针
	HMODULE hDll = NULL;
	PFN_HOOKSTART HookStart = NULL;
	PFN_HOOKSTOP HookStop = NULL;
 
	//加载KeyHook.dll
	hDll = LoadLibraryA(DEF_DLL_NAME);
 
	//若加载不成功，则输出错误信息
	if( hDll == NULL )
		printf("[-]无法加载%s [%d]\\n", DEF_DLL_NAME, GetLastError());
		return;
	
 
	//获取导出函数地址
	HookStart = (PFN_HOOKSTART)GetProcAddress(hDll, DEF_HOOKSTART);
	HookStop = (PFN_HOOKSTOP)GetProcAddress(hDll, DEF_HOOKSTOP);
 
	//开始钩取
	HookStart();
 
	//直至用户输入“q”退出钩取
	printf("[*]等待输入 \'q\' 来停止钩取...\\n");
	while( _getch() != \'q\' );
 
	//终止钩取
	HookStop();
 
	//卸载KeyHook.dll
	FreeLibrary(hDll);

先加载KeyHook.dll，再调用HookStart()函数开始钩取，当获取到用户输入“q”后调用HookStop()函数终止钩取。

代码流程分析概括

安装好键盘钩子后，无论在哪个进程中，只要发生了键盘输入事件，OS就会强制将KeyHook.dll注入到进程中，加载了KeyHook.dll的进程，发生键盘事件时会首先调用执行KeyHook.KetyboardProc()。

KetyboardProc()函数中发生键盘输入事件时，会比较当前进程的名称与“notepad.exe”是否相同，相同返回1，终止KetyboardProc()函数，意味着截获并删除了消息，这样键盘消息就不会传递到notepad.exe程序的消息队列。

练习示例HookMain.exe

注：HookMain.exe 要和 KeyHook.dll放在一个目录下
运行HookMain.exe之后，再打开notepad.exe，输入键盘信息，发现打不上去，notepad.exe卡死。
我使用的系统是win10 64位系统，经过多方面搜索，终于确定问题，版本不匹配，dll因为CPU架构不匹配不能注入时，程序会通过SendMessage来调用你的KeyBoardProc，然后程序就卡住了，一直卡在对话框界面，卡死…
直接编译成64位的程序解决问题，同时，注入程序和dll都要是64位.
（参考知乎回答https://www.zhihu.com/question/64221483）

这里就不便示例了，就是大概这样

0x05 调试HookMain.exe

使用Ollydbg打开，可以看到是典型的VC++启动函数，图中显示的是HookMain.exe的EP（Entry Point,程序入口地址）代码

查找核心代码

我们关心的是核心的键盘钩取部分的代码，如何查找核心代码？

1. 逐步跟踪（除非迫不得已！）
2. 检索相关API （Ctrl+G）
3. 检索相关字符串

我们已经知道程序的功能，会在控制台显示字符串“press ‘q’ to quit!”，所以先检查程序导入的字符串（Search for -All referencen text strings）：

地址40104d处引用了要查找的字符串，双击跳转：

来到main函数处。

调试main函数

在401000处双击下断，F9运行，到断点停下来后，开始F8/F7调试，了解main函数中主要的代码流。401006地址处调用LoadLibraryA(Keyhook.dll)，然后由40104b地址处的CALL EBX指令调用KeyHook.HookStart()函数。在40104b处，F7单步跟进查看：

这里的代码是被加载到HookMain.exe进程中的KeyHook.dll的HookStart()函数，第一句就是调用SetWindowsHookExW()函数，在进行参数入栈操作后，我们可以在栈中看到函数的4个参数值。
再附上一张作者写的流程

参考博客
dll注入
看雪原创Windows消息钩取
CSDN—Windows消息钩取
关于逆向工程核心原理-Windows消息钩取
关于《逆向工程核心原理》键盘钩子的总结