DLL注入与消息钩子技术详解

一、DLL注入概述

DLL注入是将自定义DLL（动态链接库）强制加载到目标程序进程中的技术，与普通DLL加载的关键区别在于：

• 普通DLL加载：目标程序是自身或其他特定程序
• DLL注入：强制在任意目标进程中插入自定义DLL

DLL注入过程中常涉及"钩子"(Hook)概念，钩子的主要功能是拦截并处理消息和进程，实现对程序原有功能的修改或监视。

二、Windows消息机制与钩子原理

Windows是基于事件驱动的GUI系统：

1. 用户通过鼠标、键盘等外设产生输入事件
2. 事件消息进入Windows系统消息队列
3. 消息从系统队列传递到应用程序队列
4. 应用程序处理消息

消息钩子的工作位置在系统消息队列和应用程序队列之间，可以拦截并处理即将传入应用的事件消息。

三、键盘消息钩子实现

1. 关键组件

• 目标程序：notepad.exe（记事本）
• 工具：Process Explorer（查看进程和DLL加载情况）

2. DLL模块实现（KeyHook.cpp）

DLL入口点函数

BOOL WINAPI DllMain(
    HINSTANCE hinstDLL,  // DLL模块句柄
    DWORD fdwReason,     // 调用原因
    LPVOID lpvReserved   // 保留参数
)
{
    switch(fdwReason) {
    case DLL_PROCESS_ATTACH:  // DLL被加载时
        g_hInstance = hinstDLL;
        break;
    case DLL_PROCESS_DETACH:  // DLL被卸载时
        break;
    }
    return TRUE;
}

键盘钩子回调函数

LRESULT CALLBACK KeyboardProc(
    int nCode,      // 处理消息的代码
    WPARAM wParam,  // 虚拟键值
    LPARAM lParam   // 扩展键信息
)
{
    char szPath[MAX_PATH] = {0};
    char *p = NULL;
    
    if(nCode >= 0) {  // 正常键盘消息
        if(!(lParam & 0x80000000)) {  // 检查按键状态(0=按下,1=释放)
            GetModuleFileNameA(NULL, szPath, MAX_PATH);
            p = strrchr(szPath, '\\');
            if(!_stricmp(p+1, PROCESS_NAME)) {  // 检查是否为记事本进程
                return 1;  // 拦截消息
            }
        }
    }
    return CallNextHookEx(g_Hook, nCode, wParam, lParam);
}

导出函数

// C++环境下使用C语言方式导出
#ifdef __cplusplus
extern "C" {
#endif

__declspec(dllexport) void HookStart()
{
    g_Hook = SetWindowsHookEx(WH_KEYBOARD, KeyboardProc, g_hInstance, 0);
}

__declspec(dllexport) void HookStop()
{
    if(g_Hook) {
        UnhookWindowsHookEx(g_Hook);
        g_Hook = NULL;
    }
}

#ifdef __cplusplus
}
#endif

3. 关键API解析

SetWindowsHookEx

HHOOK SetWindowsHookExA(
    [in] int idHook,        // 钩子类型(WH_KEYBOARD)
    [in] HOOKPROC lpfn,     // 回调函数指针
    [in] HINSTANCE hmod,    // DLL实例句柄
    [in] DWORD dwThreadId   // 线程ID(0表示所有线程)
);

KeyboardProc回调函数参数

• nCode：决定如何处理消息
  • <0：必须调用CallNextHookEx传递消息
  • =0：wParam和lParam包含有效键信息
  • =3：消息被PeekMessage查看过
• wParam：虚拟键值
• lParam：扩展键信息（第31位表示按键状态：0=按下，1=释放）

四、主程序实现（WindowsMessageHook.cpp）

#include <stdio.h>
#include <Windows.h>
#include <conio.h>

#define DLL_NAME "KeyHook.dll"
#define HOOKSTART "HookStart"
#define HOOKSTOP "HookStop"

typedef void (*FN_HOOKSTART)();
typedef void (*FN_HOOKSTOP)();

void main()
{
    HMODULE hDll = NULL;
    FN_HOOKSTART HookStart = NULL;
    FN_HOOKSTOP HookStop = NULL;
    
    // 加载DLL
    hDll = LoadLibraryA(DLL_NAME);
    
    // 获取函数地址
    HookStart = (FN_HOOKSTART)GetProcAddress(hDll, HOOKSTART);
    HookStop = (FN_HOOKSTOP)GetProcAddress(hDll, HOOKSTOP);
    
    // 启动钩子
    HookStart();
    
    printf("press 'q' to quit this hook procedure");
    while(_getch() != 'q');  // 等待退出
    
    // 停止钩子并卸载DLL
    HookStop();
    FreeLibrary(hDll);
}

五、调试与分析

1. 运行测试

1. 运行Hook程序
2. 打开notepad.exe
3. 观察：
   • 记事本无法接收键盘输入
   • Process Explorer显示KeyHook.dll已注入notepad进程

2. OD调试技巧

1. 设置OD在"新模块加载"时中断
2. 在notepad中输入时，OD会停在DLL加载处
3. 分析SetWindowsHookEx调用和键盘消息处理流程

六、关键知识点总结

1. DLL注入原理：强制将DLL加载到目标进程地址空间
2. 消息钩子类型：WH_KEYBOARD用于拦截键盘消息
3. 回调函数设计：KeyboardProc处理具体的消息拦截逻辑
4. 模块句柄管理：正确获取和传递DLL实例句柄
5. 消息传递链：未处理的消息必须调用CallNextHookEx继续传递
6. 进程识别：通过GetModuleFileName识别目标进程

七、注意事项

1. 32位/64位兼容性问题：注入的DLL必须与目标进程位数匹配
2. 系统版本差异：某些API行为在不同Windows版本可能不同
3. 错误处理：应检查所有API调用的返回值
4. 资源释放：确保卸载钩子和释放DLL资源
5. 防检测：实际应用中需要考虑绕过安全软件检测

八、扩展应用

此技术可扩展用于：

1. 键盘记录器开发
2. 输入法注入
3. 游戏外挂开发
4. 系统监控工具
5. 安全防护软件开发

通过修改KeyboardProc回调函数的处理逻辑，可以实现各种键盘消息的监控和修改功能。