2024年6月14日发(作者：)

第２６卷第５期

２００９年５月

计算机应用与软件

ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓ

ａｎｄＳｏｆｔｗａｒｅ

ＶｏＩ．２６Ｎｏ．５

Ｍａｙ

２００９

ＨＯＯＫ

ＡＰＩ时代码注入方法和函数重定向技术研究

舒敬荣朱安国齐善明

（解放军炮兵学院二系安微合肥２３００３１）

摘要ＨＯＯＫ

ＡＰＩ是一种高级编程技术，在介绍ＷｉｎｄｏｗｓＨＯＯＫ技术的基础上，阐述了ＨＯＯＫＡＰＩ技术的概念，分析了ＨＯＯＫ

ＡＰＩ技术的实现原理，给出了三种实现ＨＯＯＫＡＰＩ技术时的代码注入方法，即使用钩子注入ＤＬＬ、使用注册表注入ＤＬＬ及使用远程

线程注入ＤＬＬ。探讨两种实现ＨＯＯＫＡＰＩ技术时的函数重定向技术，即利用ＰＥ文件中的导入表实现函数的重定向及通过嵌入汇编

代码实现函数的重定向。

关键词ＨＯＯＫ机制ＨＯＯＫＡＰＩ代码注入函数重定向Ｗｉｎｄｏｗｓ编程

ＳＴＵＤＹＯＮＣＯＤＥ

ＥＭＢＥＤＤＩＮＧＭＥＴＨｏＤ

ＴＥＣＨＮＩＱＵＥ

ＷＨＥＮ

Ｓｈｕ

Ｊｉｎｇｒｏｎｇ

ＡＮＤＦＵＮＣＴＩｏＮＲＥＤＩＲＥＣＴｌｏＮ

ＨｏｏＫＩＮＧＡＰＩ

Ｚｈｕ

Ａｎｇｕｏ

Ｑｉ

Ｓｈａｎｍｉｎｇ

（Ｔｗｏ

Ｄｅｐａｒｔｍｅｎｔ，ＡｒｔｉｌｌｅｒｙＡｃａｄｅｍｙ

ｏｆＰ上Ａ．，Ｈｅｆｅｉ２３００３１，Ａｎｈｕｉ。Ｃｈｉｎａ）

Ａｂｓｔｒａｃｔ‘｜ＨＯＯＫＡＰＩｉｓｋｉｎｄｏｆ

ａｄｖａｎｃｅｄ

ｐｒｏｇｒａｍｍｉｎｇｔｅｃｈｎｉｑｕｅ．Ｏｎ

ｔｈｅｂａｓｉｓｏｆ

ｉｎｔｒｏｄｕｃｉｎｇ

Ｗｉｎｄｏｗｓ

ＨＯＯＫ

ｔｅｃｈｎｉｑｕｅ，ｉｎ

ｔｈｉｓ

ｐａｐｅｒ

ｉｔ

ｅｘｐｏｕｎｄｓ

ｔｈｅ

ｃｏｎｃｅｐｔ

ｏｆＨＯＯＫＡＰＩ

ｔｅｃｈｎｉｑｕｅ，ａｎａｌｙｓｅｓ

ｉｔｓｒｅａｌｉｚａｔｉｏｎ

ｐｒｉｎｃｉｐｌｅ，ａｎｄｐｕｔｓ

ｆｏｒｗａｒｄｔｈｒｅｅｋｉｎｄｓｏｆＤＬＬｃｏｄｅ

ｅｍｂｅｄｄｉｎｇ

ｍｅｔｈ－

ｏｄｓ

ｗｈｅｎ

ｒｅａｌｉｚｉｎｇ

ＨＯＯＫ

ＡＰＩ：（１）ｂｙ

ｕｓｉｎｇ

ｈｏｏｋｓ；（２）ｂｙ

ｕｓｉｎｇｒｅｇｉｓｔｒａｔｉｏｎ

ｔａｂｌｅ；（３）ｂｙｕｓｉｎｇ

ｒｅｍｏｔｅｔｈｒｅａｄ．Ｉｔａｌｓｏｄｉｓｃｕｓｓｅｓ

ｆｕｎｃｔｉｏｎｒｅｄｉｒｅｃｔｉｏｎ

ｔｅｃｈｎｉｑｕｅｓ

ｗｈｅｎ

ｒｅａｌｉｚｉｎｇ

ＨＯＯＫ

Ｋｅｙｗｏｒｄｓ

ＨＯＯＫ

ｔｗｏ

ｋｉｎｄｓｏｆ

ＡＰＩ：（Ｉ）ｂｙ

ｕｓｉｎｇ

ＰＥｆｉｌｅ

ｉｍｐｏｒｔｉｎｇｔａｂｌｅ；（２）ｂｙ

ｅｍｂｅｄｄｉｎｇ

ａｓｓｅｍｂｌｅ

ｌａｎｇｕａｇｅ

ｃｏｄｅ．

ｍｅｃｈａｎｉｓｍ

ＨＯＯＫＡＰＩＣｏｄｅ

ｅｍｂｅｄｄｉｎｇ

Ｆｕｎｃｔｉｏｎｒｅｄｉｒｅｃｔｉｏｎ

Ｗｉｎｄｏｗｓ

ｐｒｏｇｒａｍｍｉｎｇ

０引

ＨＯＯＫ

言

ＡＰＩ是一种高级编程技术，很多问题的实现和解决

１

Ｗｉｎｄｏｗｓ系统中的ＨｏｏＫ（钩子）机制

Ｗｉｎｄｏｗｓ系统中ＨｏＯＫ机制的概念

Ｗｉｎｄｏｗｓ系统是建立在消息驱动机制上的，整个系统都是

１．１

都要用到这种技术。这里所说的ＡＰＩ，是广义上的ＡＰＩ，包括

ＤＯＳ下的中断、ＷＩＮＤＯＷＳ里的ＡＰＩ、中断服务、ＩＦＳ和ＮＤＩＳ过

滤等。比如大家熟悉的即时翻译软件，就是靠ＨＯＯＫ

ＴｅｘｔＯｕｔ（）

或ＥｘｔＴｅｘｔＯｕｔ（）这两个函数实现的，在操作系统用这两个函数

输出文本之前，就把相应的英文替换成中文而达到即时翻译；

ＩＦＳ和ＮＤＩＳ过滤也是如此，在读写磁盘和收发数据之前，系统

会调用第三方提供的回调函数来判断操作是否可以放行，它与

普通ＨＯＯＫ不同，它是操作系统允许的，由操作系统提供接口

来安装回调函数。ＨＯＯＫＡＰＩ技术还可用于网络攻击和网络防

御。因为ＨＯＯＫＡＰＩ技术是实现黑客、病毒及反黑客、反病毒软

件的基础。不管是ＤＯＳ下的病毒或ＷＩＮＤＯＷＳ里的病毒，都是

靠ＨＯＯＫ系统服务来实现自己的功能的：ＤＯＳ下的病毒靠

ＨＯＯＫ

ＩＮＴ

通过消息的传递来实现的。而ＨＯＯＫ（钩子）是Ｗｉｎｄｏｗｓ系统中

非常重要的系统接口，用它可以截获并处理送给其他应用程序

的消息，然后完成普通应用程序难以实现的功能。钩子可以监

视系统或进程中的各种事件消息，截获发往目标窗口的消息并

进行处理。因此，就可以通过在系统中安装自定义的钩子，监视

系统中特定事件的发生，完成特定的功能，比如截获键盘／鼠标

的输入、屏幕取词、日志监视等。可见，利用钩子可以实现许多

特殊而有用的功能。对于高级编程人员来说，掌握钩子的编程

方法是很有必要的。

关于Ｗｉｎｄｏｗｓ钩子必须要掌握以下几点：

（１）钩子是用来截获系统中的消息流的。利用钩子，可以

处理任何消息，包括其他进程的消息；

（２）截获消息后，用于处理消息的子程序叫做钩子函数，它

是应用程序自定义的一个函数，在安装钩子时要把这个函数的

地址告诉Ｗｉｎｄｏｗｓ；

（３）系统中同一时间可能有多个进程安装了钩子，多个钩

收稿１３期：２００７—１２—０６。舒敬荣，讲师，主研领域：自动化，指挥自

动化，飞行力学。

２１来感染文件（文件型病毒），靠ＨＯＯＫ

ＩＮＴ

１３来感

染引导扇区（引导型病毒）；ＷＩＮＤＯＷＳ下的病毒靠ＨＯＯＫ系统

ＡＰＩ，或者安装ＩＦＳ（ＣＩＨ病毒所用的方法）来感染文件。

由于涉及到知识产权和商业机密，微软一直不提倡编程者

ＨＯＯＫ它的系统ＡＰＩ，而提供ＩＦＳ和ＮＤＩＳ等其他过滤接口，也是

为了适应杀毒软件和防火墙的需要才开放的。所以在大多数时

候，ＨＯＯＫ

ＡＰｌ要靠自己的编程来完成。

万方数据

１０８

计算机应用与软件

２００９篮

子函数在一起组成钩子链。所以在处理截获到的消息时，应该

把消息事件传递Ｆ去，以便其它钩子也有机会处理这一消息。

而且最近安装的钩子放在链的开始，而最早安装的钩子放在最

后，也就是后加入的先获得控制权；

（４）钩子函数有很多类型。按事件类型分类，主要有键盘

钩子、鼠标钩子、外壳钩子、１３志钩子和窗口过程钩子等；按使用

范围分类，主要有线程钩子和系统钩子。线程钩子监视指定线

程的事件消息，系统钩子监视系统中的所有线程的事件消息。

因为系统钩子会影响系统中所有的应用程序，所以钩子函数必

须放在独立的动态链接库（ＤＬＬ）中。如果对于同一事件（如鼠

标消息）既安装了线程钩子又安装了系统钩子，那么系统会自

动先调用线程钩子，然后调用系统钩子：

（５）钩子会使系统变慢，因为它增加了系统对每个消息的

处理量。仅在必要时才安装钩子，而且在不需要时应尽快移除。

１．２

Ｗｉｎｄｏｗｓ系统中ＨｏｏＫ（钩子）机制的使用步骤

使用ＨＯＯＫ机制可以分为定义钩子函数、安装钩子和卸载

钩子３步，具体方法如下：

（１）定义钩子函数

钩子函数是一种特殊的回调函数。钩子监视的特定事件发

生后，系统会调用钩子函数进行处理。不同事件的钩子函数的

形式是各不相同的，此处以鼠标钩子函数举例说明钩子函数的

原型：

ＬＲＥＳＵＬＴＣＡＬＬＢＡＣＫ

ＨｏｏｋＰｒｏｃ（ｉｎｔ

ｎＣｏｄｅ，ＷＰＡＲＡＭ

ｗＰａｒａｍ，

ＬＰＡＲＡＭ

ＩＰａｒａｍ）；

参数ｗＰａｒａｍ和ＩＰａｒａｍ包含所钩消息的信息，比如鼠标位

置／状态、键盘按键等。ｎＣｏｄｅ包含有关消息本身的信息，比如

是否从消息队列中移出。

先在钩子函数中实现自定义的功能，然后调用函数Ｃａｌｌ．

ＮｅｘｔＨｏｏｋＥｘ，把钩子信息传递给钩子链的下一个钩子函数。

（２）安装钩子

在程序初始化的时候，调用函数ＳｅｔＷｉｎｄｏｗｓＨｏｏｋＥｘ安装钩

子。其函数原型为：

ＨＨＯＯＫ

ＳｅｔＷｉｎｄｏｗｓＨｏｏｋＥｘ（ｉｎｔ

ｉｄＨｏｏｋ，ＨＯＯＫＰＲＯＣ

Ｉｐｆ．，ＨＩＮ—

ＳＴＡＮＣＥ

ｈＭｏｄ，ＤＷＯＲＤ

ｄｗＴｈｒｅａｄｌｄ）；

参数ｉｄＨｏｏｋ表示钩子类型，和钩子函数类型对应。比如

ＷＨ—ＫＥＹＢＯＡＲＤ表示键盘钩子等。ｌｐｆｎ是钩子函数的地址。

ｈＭｏｄ是钩子函数所在的实例的句柄。对于线程钩子，该参数为

ＮＵＬＬ；对于系统钩子，该参数为钩子函数所在的ＤＬＬ句柄。

ｄｗＴｈｒｅａｄｌｄ指定钩子所监视的线程的线程号。对于全局（系统）

钩子，该参数为ＮＵＬＬ。ＳｅｔＷｉｎｄｏｗｓＨｏｏｋＥｘ返回所安装的钩子

句柄。

（３）卸栽钩子

当不再使用钩子时，必须及时卸载。简单地调用函数

ＢＯＯＬ

ＵｎｈｏｏｋＷｉｎｄｏｗｓＨｏｏｋＥｘ（ＨＨＯＯＫ

ｈｈｋ）即可。

２ＨＯＯＫ

ＡＰＩ（挂钩ＡＰＩ）技术

ＨＯＯＫ

ＡＰＩ是指截获特定进程或系统对某个ＡＰＩ函数的调

用，使得ＡＰＩ的执行流程转向指定的代码。Ｗｉｎｄｏｗｓ下的应用

程序都有自己的地址空间，它们只能调用自己地址空间中的函

数，所以在ＨＯＯＫＡＰＩ之前，必须将一个可以代替ＡＰＩ执行的自

定义函数（一般称这个函数为代理函数）的执行代码注入到目

标进程，然后再想办法将目标进程对该ＡＰＩ的调用改为对注入

万方数据

到目标进程中的自定义函数的调用，这样即可实现拦截ＡＰＩ函

数。Ｗｉｎｄｏｗｓ下的应用程序都建立在ＡＰＩ函数之上，所以截获

ＡＰＩ是一项相当有用的技术，它使得用户有机会干预其他应用

程序的程序流程。

３

ＨＯＯＫ

ＡＰＩ时的代码注入方法

注入代码到目标进程是实现拦截ＡＰＩ很蕈要的一步。比较

简单的方法是把要注入的代码写到ＤＬＬ中，然后让目标进程加

载这个ＤＬＬ。这就是所谓的ＤＬＬ注入技术。如果在这个被注

入到目标进程的ＤＬＬ中写一个与所要ＨＯＯＫ的ＡＰＩ函数的签

名完全相同的函数（即代理函数），当ＤＬＬ执行初始化代码的时

候，把目标进程对这个ＡＰＩ的调用全部改为对代理函数的调用，

即可实现拦截ＡＰＩ函数。通过编程实践可知，ＤＬＬ注入技术有

以下几种：

３．１使用钩子注入ＤＬＬ

我们知道，对系统钩子而言，当安装钩子的函数ＳｅｔＷｉｎｄｏｗ－

ｓＨｏｏｋＥｘ调用成功后，Ｗｉｎｄｏｗｓ在系统内部对系统中的所有进程

自动调用ＬｏａｄＬｉｂｒａｒｙ函数，强迫它们加载包含钩子函数执行代

码的模块，这就是这些进程能够访问钩子函数的原因。从这里

可以得到一个重要启示，那就是如果我们创建一个系统钩子，并

将包含钩子函数执行代码的模块编译成ＤＬＬ（当然这个ＤＬＬ中

还必须包含代理函数的代码），就可以实现ＤＬＬ的自动注入。

这就是所谓的使用钩子注入ＤＬＬ。

使用Ｗｉｎｄｏｗｓ钩子注入特定ＤＬＬ到其他进程，一般都安装

ＷＨ

ＧＥＴＭＥＳＳＡＧＥ钩子，这是因为Ｗｉｎｄｏｗｓ下的应用程序大部

分都需要调用ＧｅｔＭｅｓｓａｇｅ或ＰｅｅｋＭｅｓｓａｇｅ函数从消息队列中获

取消息，所以它们都会加载钩子函数所在的ＤＬＬ。

由于此处安装ＷＨ—ＧＥＴＭＥＳＳＡＧＥ钩子的目的仅仅是让其

他进程加载钩子函数所在的ＤＬＬ，所以一般仅在钩子函数中调

用ＣａｌｌＮｅｘｔＨｏｏｋＥｘ函数即可，如下面代码所示：

ＬＲＥＳＵＬＴＷＩＮＡＰＩ

ＧｅｔＭｓｇＰｒｏｃ（ｉｎｔ

ｃｏｄｅ，ＷＰＡＲＡＭ

ｗＰａｒａｍ，

ＬＰＡＲＡＭ

ＩＰａｒａｍ）

｛ｒｅｔｕｒｎ：：ＣａＵＮｅｘｔＨｏｏｋＥｘ（ｇ＿ｈＨｏｏｋ，ｃｏｄｅ，ｗＰａｒａｍ，１Ｐａｍｍ）；｝

如果要将ＤＬＬ注入到特定进程中，一般是将该进程中主线

程的线程ＩＤ传递给ＳｅｔＷｉｎｄｏｗｓＨｏｏｋＥｘ函数；而如果要将ＤＬＬ

注入到所有进程中，安装一个系统范围内的钩子即可（将０作

为线程ＩＤ传递给ＳｅｔＷｉｎｄｏｗｓＨｏｏｋＥｘ函数）。

３．２

使用注册表注入ＤＬＬ

若要插入一个ＤＬＬ到链接系统模块Ｕｓｅｒ３２．ｄｕ的进程（一

般ＧＵＩ程序都要使用Ｕｓｅｒ３２．ｄ１１），可以简单地向下面的注册表

键下添加键值数据。

ＨＫＥＹ—ＬＯＣＡＬ—ＭＡＣＨＩＮＥ＼ＳＯＩｍＩ＇ＷＡＲＥ、Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ

ＮＴ＼Ｃｕｒ－

ｒｅｎｔＶｅｒｓｉｏｎ＼Ｗｉｎｄｏｗｓ＼Ａｐｐｌｎｉｔ—ＤＬＬｓ

键值数据可以是单一的ＤＬＬ名称，也可以是逗号或空格间

隔的ＤＬＬ集合。所有这个键指定的ＤＬＬ将被当前帐户下的每

个应用程序加载，它们是在Ｕｓｅｒ３２．ｄｌｌ初始化的时候被加载的。

Ｕｓｅｒ３２读取上面提到的键值，在ＤＬＬ入口函数ＤｌｌＭａｉｎ中为这

些ＤＬＬ调用ＬｏａｄＬｉｂｒａｒｙ函数。

这种方法仅仅对使用Ｕｓｅｒ３２．ｄｌｌ的应用程序有效；另一个

限制是这个机制仅被Ｗｉｎｄｏｗｓ２０００系列的操作系统支持。通

过注册表向进程插入ＤＬＬ还有如下不足：

（１）为了激活／取消对进程的插入，不得不重新启动Ｗｉｎ—