windows全局消息钩子的一个BUG

Windows操作系统全局消息钩子Bug

场景：

Process A与Process B是同一个程序的两个实例，

1、两个进程都设置了WH_CBT消息钩子，钩子的消息处理都在TSVulFw.dat模块的同一个函数。

2、两个进程具有相同的名称，但是PID不同。

当进程通过以下流程执行时，就会出现一个BUG

BUG分析：

Process A首先设置了全局的WH_CBT钩子，SetWindowsHookEx最终会调用到win32k.sys的zzzSetWindowsHookEx函数，GetHmodTableIndex(UNICODE_STRING)可以定义到模块名称。创建一个新的HOOK结构地址0xbbe566e8

模块地址：

C:/Documents and Settings/All Users/Application Data/Tencent/TSVulFw/TSVulFw.dat

模块Index：

GetHmodTableIndex()的到 ihmod = 3

Process B也设置了全局的WH_CBT钩子，SetWindowsHookEx最终会调用到win32k.sys的zzzSetWindowsHookEx函数，GetHmodTableIndex(UNICODE_STRING)可以定义到模块名称。创建一个新的HOOK结构地址0xbbe5ef58

Process A 执行UnhookWindowsHookEx操作，最终调用win32k.sys的zzzUnhookWindowsHookEx函数，该函数Unhook的Hook结构竟然是Process B的，结构的地址0xbbe5ef58，从图中“dd edi”命令可以看到Hook结构的内容，地址是0xbbe5ef58，下一个结构的地址是Process A设置的Hook结构0xbbe566e8。

Process A没有Unhook自己的Hook结构，反而Unhook了Process B设置的Hook结构，BUG啊~~~~~

最后Process A退出的时候，调用xxxDestroyThreadInfo -> FreeThreadsWindowHooks -> UnlinkHook(PHOOK) ，将Process A自己设置的WH_CBT全局消息钩子给Unhook了。

Process B UnHook时，HHook句柄已经为NULL了

windows全局消息钩子的一个BUG相关推荐

C++ Windows Hook 消息钩子详解
本文完整测试工程的源码免积分下载地址:http://download.csdn.net/detail/zy_dreamer/5336484 我们先来简单的了解一下基本概念: Hook是WINDOWS提 ...
安装全局消息钩子实现dll窗体程序注入
说明{ 通过设置全局消息钩子来实现dll注入,然后窗体有相关消息请求的时候就会自动加载注入dll, 然后在入口处做处理就可以了.注入方式简单很多,比代码注入和lsp等注入都简单,就不解释了. ...
Windows 反消息钩子（1）
消息钩子在Windows编程中有着非常广泛的应用,它可以任意拦截Windows系统,这个以消息为驱动的系统中的绝大多数消息类型.一方面这给编程者带来了巨大的灵活性,另一方面也埋下了巨大隐患,大多数窃密 ...
代码实现全局消息钩子SetWindowsHookExA监视按键记录
简单的使用Windows提供的Hook API SetWindowsHookExA,实现弹窗提示每次按下的按键步骤: 1.编写一个Dll调用SetWindowsHookExA,实现弹窗 2.编写一个 ...
C++编写Windows全局键盘钩子记录键盘输入
1.键盘钩子处理程序 HookProc 2.键盘钩子安装程序 InstallHook 3.键盘钩子卸载程序 UnInstallHook 4.键盘钩子dll的加载,安装与释放生成标准windows d ...
计算机病毒对消息钩子的利用与对抗
作者: dncwbc 时间: 2011-10-07,23:57:15 链接: http://bbs.pediy.com/showthread.php?t=141059 一.消息钩子的概念 ...
VC++获取病毒的消息钩子
一.消息钩子的概念 1.基本概念 Windows应用程序是基于消息驱动的,任何线程只要注册窗口类都会有一个消息队列用于接收用户输入的消息和系统消息.为了拦截消息,Windows提出了钩子的概念.钩子( ...
Windows 全局钩子 Hook 详解
监控程序的实现我们发现一些木马或其他病毒程序常常会将我们的键盘或鼠标的操作消息记录下来然后再将它发到他们指定的地方以实现监听.这种功能其他是利用了全局钩子将鼠标或键盘消息进行了截取,从而 ...
利用钩子机制取得Windows的消息监控权
利用钩子机制取得Windows的消息监控权我们知道,Windows系统是建立在消息传递机制基础上的,几乎所有的程序活动都由消息来驱动.Windows的钩子机制可以看作是一个消息中转站,控制系统发出消 ...

windows全局消息钩子的一个BUG

windows全局消息钩子的一个BUG相关推荐

最新文章

热门文章