windows全局消息钩子的一个BUG

探讨了Windows操作系统中全局消息钩子的Bug现象,详细分析了两个具有相同名称但不同PID的进程如何导致错误地解除另一个进程的钩子结构。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

Windows操作系统全局消息钩子Bug

场景:

Process A与Process B是同一个程序的两个实例,

1、 两个进程都设置了WH_CBT消息钩子,钩子的消息处理都在TSVulFw.dat模块的同一个函数。

2、 两个进程具有相同的名称,但是PID不同。

当进程通过以下流程执行时,就会出现一个BUG

BUG分析:

Process A首先设置了全局的WH_CBT钩子,SetWindowsHookEx最终会调用到win32k.sys的zzzSetWindowsHookEx函数,GetHmodTableIndex(UNICODE_STRING)可以定义到模块名称。创建一个新的HOOK结构地址0xbbe566e8

模块地址:

C:/Documents and Settings/All Users/Application Data/Tencent/TSVulFw/TSVulFw.dat

模块Index: 

GetHmodTableIndex()的到 ihmod = 3

Process B也设置了全局的WH_CBT钩子,SetWindowsHookEx最终会调用到win32k.sys的zzzSetWindowsHookEx函数,GetHmodTableIndex(UNICODE_STRING)可以定义到模块名称。创建一个新的HOOK结构地址0xbbe5ef58

Process A 执行UnhookWindowsHookEx操作,最终调用win32k.sys的zzzUnhookWindowsHookEx函数,该函数Unhook的Hook结构竟然是Process B的,结构的地址0xbbe5ef58从图中“dd edi”命令可以看到Hook结构的内容,地址是0xbbe5ef58,下一个结构的地址是Process A设置的Hook结构0xbbe566e8。

Process A没有Unhook自己的Hook结构,反而Unhook了Process B设置的Hook结构,BUG啊~~~~~

最后Process A退出的时候,调用xxxDestroyThreadInfo -> FreeThreadsWindowHooks -> UnlinkHook(PHOOK) ,将Process A自己设置的WH_CBT全局消息钩子给Unhook了。

Process B UnHook时,HHook句柄已经为NULL了

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值