hook的使用

Hook的中文含义是“钩子”，与消息有着非常密切的联系。hook是消息处理中的一个环节，用于监控消息在系统中的传递，并在这些消息到达最终的消息处理过程前，处理某些特定的消息。它将自身的代码融进目标进程里，目标进程的某一调用将优先调用你的hook dll，然后再由hook dll调用目标进程想调用的函数或者方法；

 api hook是什么？

在windows系统下编程，应该会接触到api函数的使用，常用的api函数大概有2000个左右。

今天随着控件，stl等高效编程技术的出现，api的使用概率在普通的用户程序上就变得越来越小了。

当诸如控件这些现成的手段不能实现的功能时，我们还需要借助api。

最初有些人对某些api函数的功能不太满意，就产生了如何修改这些api，使之更好的服务于程序的想法，这样api hook就自然而然的出现了。

我们可以通过api hook，改变一个系统api的原有功能。基本的方法就是通过hook“接触”到需要修改的api函数入口点，改变它的地址指向新的自定义的函数。

api hook并不属于msdn上介绍的13类hook中的任何一种。所以说，api hook并不是什么特别不同的hook，它也需要通过基本的hook提高自己的权限，跨越不同进程间访问的限制，达到修改api函数地址的目的。对于自身进程空间下使用到的api函数地址的修改，是不需要用到api hook技术就可以实现的。

Hook的几种方式：

1. 使用注册表HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs

AppInit_DLLs这个项的值本应该是个空值。注册表的系统设置项“AppInit_DLLs”可以为任一个进程调用一个dll列表，是早期的进程插入式木马的伎俩，通过修改注册表中的KEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs来达到插入进程的目的。缺点是不实时，修改注册表后需要重新启动才能完成进程插入。AppInit_DLLs这个项目，正常情况下它的值应该是空的。这个项目表示每当一个程序启动的时候，AppInit_DLLs中的dll文件就会注入到该程序里面去启动。

比如：如果AppInit_DLLs=qhbpri.dll，那么在登录windows后，系统加载了explorer.exe，那么qhbpri.dll也会出现在其中。dll文件虽然不能自己运行，但等他注入到应用程序中，其中代码还是会被执行，一些qq密码盗窃木马就是用上面的原理工作的。由于dll是寄生在exe中运行，在进程管理器中是看不到它的。

但是此种方法，应该会被当前的大多数杀毒软件警告；

2.调用SetWindowsHookEx(WH_GETMESSAGE, …, 0)

SetWindowsHookEx(WH_GETMESSAGE, …, 0) 是个全局的消息钩子，虽然可能你的程序并不用到消息钩子，但是钩子的一个副作用是会将对应的DLL加载到所有的GUI线程之中（无疑会拖慢程序的运行）。类似的，只有用到GUI的进程才会被挂接。虽然有这种限制，这种方法仍然是最常用的挂接进程的方法。

3.使用CreateRemoteThread函数在目标进程中创建远程线程
这种方法可以在任意的目标进程中创建一个远程线程，远程线程中可以执行任意代码，这样便可以做到把我们的代码Inject到目标进程中。这种方法具有最大的灵活性，但是难度也最高：
　　a) 远程线程代码必须可以自重定位
　　b) 要能够监视进程的启动和结束，这样才可以挂接到所有进程
此种方式，着重介绍下：

1. 找到你要挂载的进程；

2.得到要注入的进程的句柄，OpenProcess(...);

3.为后面的dll分配内存，::VirtualAllocEx(...);

4.将dll载入申请的内存中，WriteProcessMemory(...);

5.获得LoadLibraryA在内核中的具体位置，GetProcAddress(...);

6.只要调用了LoadLibraryA都创建远程线程加载dll,CreateRemoteThread(...);

7.等待远程线程终止，WaitForSingleObject(...);

8.关闭句柄，释放申请的远程线程中的分配的空间；

但是此种方法只能是在目标先启动后，然后才能成功的挂载我们的hook程序，那如何检测目标程序是否已经开启了呢？

下面做详细阐述：首先的第一想法，是Hook ZwCreateProcess，结果调试的时候发现，很多创建进程的动作，并没有通过这个API执行，所以自然就是没办法监控进程的创建，于是回到本质，从创建进程的动作过程来分析，创建新的进程，其大致要经历以下步骤：

（1）打开可执行文件，以FILE_EXECUTE权限打开；

（2）将可执行文件加载到内存空间；

（3）进程的活动结构将被创建，如（EPROCESS，KPROCESS和PEB结构）；

（4）为新创建的进程分配地址空间；

（5）为进程的主线程创建线程活动结构，如(ETHREAD,KTHREAD和TEB结构)；

（6）主线程的栈将会被分配；

（7）进程的主线程的上下文将被创建；

（8）通知windows子系统；

以上总结下来，无非有下面几种办法获取进程创建的消息：

（1）HOOK ZeCreateSection，创建虚拟内存块的时候，根据传入的文件句柄，获取句柄对应的文件名是否为exe可执行文件；

（2）Hook NtReadVirtualMemory，为新创建的进程分配地址空间等操作时，需要读取进程空间，这样捕获，就能够获取进程的创建动作；

（3）通过windows提供的回调函数，注册回调事件；

方法对比：

（1）该方法能够准确的获取进程创建的操作，但是由于此时进程并没有创建完毕，一些进程的基本结构还没有创建，所以进程ID等信息无法获取；

（2）该方法能够获取进程的创建操作，但不准确。因为除了进程的创建会调用此操作外，人为的一些操作，例如某外部应用程序想读取另一个进程的内存空间，也会调用这个函数，这时候也会有事件响应，因此结果不准确；

（3）第三种方法更直观和简单。因为采用的回调事件，并不直接HOOK API，因此更稳定。

重点分析第三种回调方法。

注册回调事件，是通过PsSetCreateProcessNotifyRoutine来实现的，其函数原型如下：

NTSTATUS PsSetCreateProcessNotifyRoutine( 
IN PCREATE_PROCESS_NOTIFY_ROUTINE NotifyRoutine, 
IN BOOLEAN Remove 
);

NotifyRoutine就是注册的回调函数，当有进程创建的时候，就会调用这个NotifyRoutine对应的函数，其函数定义原型如下：

VOID (*PCREATE_PROCESS_NOTIFY_ROUTINE) ( 
IN HANDLE ParentId, 
IN HANDLE ProcessId, 
IN BOOLEAN Create 
); 

其中，ParentId是父进程ID，ProcessId为子进程ID，而Create表示是创建进程还是结束进程，其中True表示创建进程，False表示结束进程。

通过这个函数，我们就能够完成进程创建和退出的监控，首先调用PsSetCreateProcessNotifyRoutine注册进程监控回调函数，然后在回调函数里面，判断Create参数，分别处理进程创建和退出操作。