有趣——windows键盘消息截获

最新推荐文章于 2023-03-06 20:25:37 发布

Coding_Reading

最新推荐文章于 2023-03-06 20:25:37 发布

阅读量5.1k

点赞数 2

CC 4.0 BY-SA版权

分类专栏：《逆向工程核心原理》

本文链接：https://blog.youkuaiyun.com/ProgrammeringLearner/article/details/52961083

本文介绍了Windows操作系统中键盘消息的处理流程，包括WM_KEYDOWN消息如何进入消息队列，操作系统如何分发到应用程序，以及如何通过SetWindowsHookEx()函数设置消息钩子，实现键盘事件的拦截。钩子过程在DLL中实现，并能在目标进程被注入以截获消息。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

理解下windows的消息机制：

1.发生键盘输入事件时，WM_KEYDOWN消息被添加到操作系统消息队列

2.OS判断哪个APP发生了事件，然后从系统消息队列取出消息分发到应用程序消息队列

3.APP监视自身的消息队列，发现新的消息，调用相应的事件处理程序

在OS消息队列和APP消息队列之间存在一条钩链，处于钩链之中的钩子比APP消息队列先看到相应信息

API函数SetWindowsHookEx()可实现消息钩取，钩子过程是由OS调用的回调函数，安装“钩子”时，“钩子”过程需要存在某个DLL内部

安装好钩子后，某个进程生成指定消息时，OS会将相应DLL强制注入进程中，然后调用“钩子”过程

dll源码

#include<stdio.h>
#include<Windows.h>

#define DEF_PROCESS_NAME "notepad++.exe"

HINSTANCE g_hInstance = NULL;
HHOOK g_hHook = NULL;
HWND g_hWnd = NULL;

BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD dwReason, LPVOID lpvReserved)
{
	switch (dwReason)
	{
	case DLL_PROCESS_ATTACH:
		g_hInstance = hinstDLL;
		break;	

	case DLL_PROCESS_DETACH:
		break;
	}
	return true;
}

LRESULT CALLBACK KeyboardProc(int nCode, WPARAM wParam, LPARAM lParam)
{
	char szPath[MAX_PATH] = { 0, };
	char* p = NULL;

	if (nCode=0)
	{
		if (!(lParam & 0x80000000))
		{
			GetModuleFileNameA(NULL,