Win32k(3) R0 to R3,键盘鼠标输入

第三部分 R0 to R3

 

这部分有教主非常精彩和实用的分析，我就不瞎说了。

http://bbs.pediy.com/showthread.php?t=104918

 

r3 to r0 是常规系统调用倒过来

中断或者sysenter的东西：

http://hi.baidu.com/andriy_aolala/blog/item/0ce3ebbf137db11a18d81fac.html

 

NTSTATUS

KeUserModeCallback (

INULONGApiNumber,

INPVOIDInputBuffer,

INULONGInputLength,

OUTPVOID *OutputBuffer,

INPULONGOutputLength

)

这个函数设置好栈的布局后调用KiCallUserMode

KiCallUserMode调用_KiServiceExit

返回到ring3的_KeUserCallbackDispatcher

KeUserCallbackDispatcher从_PEB.KernelCallbackTable取得函数，执行，NtCallbackReturn返回

 

_PEB.KernelCallbackTable是函数表，ApiNumber是服务调用号

 

这些函数传递的参数可以参考windows_2000_source_code\win2k\private\ntos\w32\ntuser\inc\ntcb.h

 

不同版本不一定一样~

kd>dds 0x77d12970

77d12970 77d27f3c USER32!__fnCOPYDATA

77d12974  77d587b3USER32!__fnCOPYGLOBALDATA

77d12978 77d28ec8 USER32!__fnDWORD

77d1297c 77d2b149 USER32!__fnNCDESTROY

77d12980 77d5876c USER32!__fnDWORDOPTINLPMSG

77d12984 77d5896d USER32!__fnINOUTDRAG

77d12988 77d3b84d USER32!__fnGETTEXTLENGTHS

等等。。。

 

这个地方可以hook，XT也提供了检测这个位置的功能，不过hook这里的样本倒是没见过~这个字段在应用层是只读的~~

 

Hook wndproc的话倒是可以直接hook __fnINOUTLPPOINT5。不过太麻烦了，只是参数过滤的话就在KeUserModeCallback过滤了。

 

我看到过直接替换windows object里面wndproc参数的东东。

kd> k

ChildEBP RetAddr 

0012f738 77d18734 4may!WndProc+0x18[C:\Users\shendi\Desktop\梅亚飞监视u盘拷贝ppt_src\4may_src\4may.cpp @167]

0012f764 77d18816USER32!InternalCallWinProc+0x28

0012f7cc 77d28ea0USER32!UserCallWinProcCheckWow+0x150

0012f820 77d2d08aUSER32!DispatchClientMessage+0xa3

0012f848 7c92e453 USER32!__fnINOUTLPPOINT5+0x27

0012f848 805026fcntdll!KiUserCallbackDispatcher+0x13

b162b920 805a2d55 nt!KiCallUserMode+0x4

b162b97c bf83b414 nt!KeUserModeCallback+0x87

b162ba2c bf813f04 win32k!SfnINOUTLPPOINT5+0xbf

b162ba74 bf8140f6win32k!xxxSendMessageToClient+0x176

b162bac0 bf80ec99 win32k!xxxSendMessageTimeout+0x1a6

b162bae4 bf83b194 win32k!xxxSendMessage+0x1b

b162bb44 bf826c4cwin32k!xxxInitSendValidateMinMaxInfo+0x1b9

b162bb88 bf83a93c win32k!xxxAdjustSize+0x22

b162bc6c bf83967e win32k!xxxCreateWindowEx+0x8fe

b162bd20 8054267c win32k!NtUserCreateWindowEx+0x1c1

b162bd20 7c92e4f4 nt!KiFastCallEntry+0xfc

0012f848 7c92e453 ntdll!KiFastSystemCallRet

0012f890 77d2e389ntdll!KiUserCallbackDispatcher+0x13

0012fd34 77d2e442USER32!NtUserCreateWindowEx+0xc

0012fde0 77d2e4dc USER32!_CreateWindowEx+0x1ed

0012fe1c 00401451 USER32!CreateWindowExA+0x33

0012fea4 004010e8 4may!InitInstance+0x51[C:\Users\shendi\Desktop\梅亚飞监视u盘拷贝ppt_src\4may_src\4may.cpp @142]

0012ff20 00401fe3 4may!WinMain+0x58[C:\Users\shendi\Desktop\梅亚飞监视u盘拷贝ppt_src\4may_src\4may.cpp @48]

0012ffc0 7c817077 4may!WinMainCRTStartup+0x1b3[crtexe.c @ 330]

0012fff0 00000000 kernel32!BaseProcessStart+0x23

 

第四部分 键盘鼠标输入

中断服务把键盘码发给键盘驱动，csrss开一个线程win32k!RawInput循环read  irp给键盘驱动~

 

ROS最新的0.3.14  csrss调用NtUserCallOneParam，进入内核线程RawInputThreadMain，应该说这是更接近于windows的

 

看一下这个线程做了什么，键盘按键操作中的时候会pending，等待pending的操作没贴出来

 

for(;;)    {        Status =OpenInputDevice(&ghMouseDevice, &pMouDevice, L"\\Device\\PointerClass0");        Status =OpenInputDevice(&ghKeyboardDevice, &pKbdDevice, L"\\Device\\KeyboardClass0"); MouStatus= ZwReadFile(ghMouseDevice,                                       NULL,                                       NULL,                                       NULL,&MouIosb,&MouseInput,sizeof(MOUSE_INPUT_DATA),&ByteOffset,                                       NULL);  KbdStatus= ZwReadFile(ghKeyboardDevice,                                      NULL,                                       NULL,                                       NULL,&KbdIosb,&KeyInput,sizeof(KEYBOARD_INPUT_DATA),&ByteOffset,                                       NULL);  UserProcessMouseInput(&MouseInput); UserProcessKeyboardInput(&KeyInput);}

KEYBOARD_INPUT_DATA这个结构是键盘驱动上传数据标准结构

 

UserProcessKeyboardInput这个函数

 

//得到目前的焦点，这个实在desktop的结构里

pFocusQueue= IntGetFocusMessageQueue();

 

if (pFocusQueue)

    {

pFocusThread= pFocusQueue->Thread;

if(pFocusThread&&pFocusThread->Tcb.Win32Thread)

pKl= ((PTHREADINFO)pFocusThread->Tcb.Win32Thread)->KeyboardLayout;

    }

//键盘布局

if (!pKl)

pKl= W32kGetDefaultKeyLayout();

 

将扫描码转换成虚拟按键，最后调用

 

UserSendKeyboardInput(&KbdInput,FALSE);

 

最终ProcessKeyEvent在处理完hook以及其他特殊情况以后

 

MsqPostMessage(pFocusQueue,&Msg, TRUE, QS_KEY);发送给焦点窗口

 

所以说要拦截键盘消息太底层就要自己处理扫描码了~~当然也不是不行

 

软件可以模拟键盘输入，就是NtUserSendInput啦