滴水逆向联盟

标题: 利用debug钩子拦截全局钩子，经典反黑客技术 [打印本页]

作者: 大灰狼 时间: 2014-7-14 08:11
标题: 利用debug钩子拦截全局钩子，经典反黑客技术

// 键盘钩子消息处理过程
LRESULT CALLBACK DebugProc ( int nCode, WPARAM wParam, LPARAM lParam )
{
if ( nCode == HC_ACTION )
{
  PDEBUGHOOKINFO pDebugHookInfo = (PDEBUGHOOKINFO)lParam ;
  switch ( wParam )
  {
  case WH_KEYBOARD:
  case WH_MOUSE:
{
// 如果钩子不是由当前DEBUG钩子所在线程安装
// 就直接返回非0值，取消钩子函数过程调用
if ( pDebugHookInfo->idThread != pDebugHookInfo->idThreadInstaller )
   return 1 ;
}
break ;
  }
}
// 继续传递消息
return CallNextHookEx ( hDebug, nCode, wParam, lParam ) ;
}

BOOL WINAPI SetHook ( BOOL isInstall )
{
// 需要安装，且钩子不存在
if ( isInstall && !hDebug )
{
  // 设置全局钩子
  hDebug = SetWindowsHookEx ( WH_DEBUG, (HOOKPROC)DebugProc, 0, GetCurrentThreadId() ) ;
  if ( hDebug == NULL )
return FALSE ;
}

// 需要卸载，且钩子存在
if ( !isInstall && hDebug )
{
  // 卸载钩子
  BOOL ret = UnhookWindowsHookEx ( hDebug ) ;
  hDebug = NULL ;
  return ret ;
}

return TRUE ;
}

作者: 有三只熊 时间: 2014-7-14 09:23
:D感谢分享

欢迎光临滴水逆向联盟 (http://dtdebug.com/)