APIHook关键技术.pdfVIP

维普资讯 一 ， 3圜 鸯 一蓦0麓 关键技术解析 A 刘克胜 工忠寿 P 解放 电子工程学院网络工程系信息安全教研室 安徽 230037 摘要：本文分析 ．『APIHook系统的实现结构和系统涉及的DLL注入和API 戡两项关键技术的多种实现途径，并结合 应用给出了编程实现的方法。 H 关键词：APIHOOK；关键技术；解析 O k— 0 弓I言 2．2建 系统范围的Windows钩r APIHook足 一项实用的WINDOWS系统编程技术，应 Windows全局钩f 般在DLL中实现，通过渊J1ISetWin— JfI领域 r分广泛。APIHook通过对应用程序内存映像API渊 dowsHookEx函数在系统中安装。 某个进程产生了钩子服务 用的重定向，改变鹿JlI程序流程，从而实现对API函数渊用 器(HookServer)指定的某种类型消息，操作系统将 自动把钩子 的监视和控制。 驱动器DLL映射到该进程的地址空间，从而使得消息回渊函 lAPIHook系统一般框架 数(在SetWindowsHookEx的参数中指定)能够对此消息进行适 通常，我们把 戡API渊用的过程称为安装APIHook。 1的处理。为 使钩子句柄HHook能在被挂钩的进程之fHJ共 ‘ 个APIHoOk{三要巾两个模块豺【成：钩子服务器(HOOk 享，必须把它存储在 个共享的数据区域。住Vc++中我们H』 Server)模块， 般‘为EXE的形式；钩 驱动器(HookDriver) 以采用颅编译指令却ragmadata—seg在DLL文件中创建 个新 模块， 般·为DLL的形式。钩r服务器主要负责向目标进程 的段，并住DEF文件中把该段的属性设置为”shared”，这样就 注入钩子驱动器，使得钩子驱动器运行在 目标进程的地址空 建 了 个共享数据段。 问，顽钩子驱动器则负责实际的API拦戡处理J二作，实现我 这种DLL注入方式有两个优点：一足这种机制在Win NT2／K／XP中都 以支持；二是钩子DLL町以在不需要的时 们期望的功能。L述父于APIHook的两个部分，分别涉及两 候，由我们丰动地渊用UnHookWindowsHookEx来卸载。缺 项关键技术的实现：DLL注入技术和API拦戡技术。 点是： 先，Windows钩 将会降低整个系统的性能，因为 它额外增加r系统在消息处理方面的时问；其次，只有当日 标进程准备接受某种消息时，钩子驱动器(HookDriver)才会 被系统映射到该进程的地址窄问，因此如果我们要对进程整 图 1 APIHOOK系统实现结构 个生命周期内的API渊用情况进行监控，用这种方法会遗漏 2DLL注入技术 某些API的渊川 。 2．1利用注册表注入DLL 2．3远程线程技术 当准备拦戡的日标进程连接了User32．dll，