如何编写注册表hook程序?

zxcfs 2000-08-08 11:17:00

...全文

64 回复打赏收藏转发到动态举报

写回复

回复

切换为时间正序

请发表友善的回复…

发表回复

这是一个自娱自乐的VC HOOK程序编写。作为入门程序是在好不过的了。同时又加入了写入注册表的代码，可以说是一石二鸟。

实验一网络安全漏洞扫描与风险评估实验二数据备份、计划作业与文件恢复实验三 Windows服务管理与注册表操作实验四经典Web漏洞-在线靶场完成的（暴力破解、验证码绕过、XSS、CSRF、SQL注入、远程代码执行、文件包含、文件下载和上传、越权漏洞）基本所有的在线靶场实验都做了实验五 Windows系统中的HOOK技术（1.了解Windows系统中的HOOK技术；能够使用HOOK技术实现简单的键盘监听程序。）C++实现。编写简单的Windows键盘监听程序，使主机A可以记录主机B的按键操作。可供参考的键盘监听实现方式： ·利用全局键盘钩子：程序设置全局键盘钩子，从而捕获按键消息，进行记录。 ·利用GetAsyncKeyState函数。该函数可以判断按键状态，根据是否为按下状态来判断用户是否进行按键操作，从而记录。 ·利用原始输入模型，直接从输入设备上获取数据，从而记录按键信息。实现原理：使用ctypes模块进行键盘输入信息钩取，然后通过TCP通信将钩取到的信息传输到攻击机然后保存。

Windows是庞大复杂的系统。由于Windows并不公开源代码，我们在调试程序的时候，往往就调到自己未知的领域去了。没有C代码，只能看到令人眼花缭乱的汇编指令和机器码。我曾对它们望而生畏，敬而远之。尤其在这个黑客、破解、病毒、木马横行的时代，如果作为安全软件的开发者，同样不能期盼病毒的作者提供可以阅读的高级语言代码。如果那些东西，也和C语言一样亲切易懂，那多么好啊！这样的话，即便是Windows这样庞大复杂而且封闭的系统，或者是再诡异和隐蔽的破坏技术，至少只要我愿意去探索，对我来说就不再有秘密可言。其实这个梦想并非不切实际。既然我们能读懂C代码，何以就不能读懂汇编呢？很多高手眼中，机器指令和C代码一样熟悉。这本书并没有系统地介绍Windows系统底层。但是我尝试寻找正确的方法和手段，为读者打开Windows底层知识宝库的大门，使读者可以在其中自由阅读，自己去获取所需知识。目录概要: 入手篇熟悉汇编本书的第一部分，将帮助读者消除对汇编的恐惧，熟悉汇编。本部分包括第I-3章。稍显枯燥的是，它们和Windows内核无关，是纯C语言与汇编语言的关系的字节。如果读者已经精通汇编语言，并能顺利阅读汇编代码，请直接跳进本部分。第1章汇编指令与C语言 1.1 上机建立第一个工程 1.1.1 用Visual Studio创建工程 1.1.2 用Visual Studio查看新汇编代码 1.2 简要复习常用的汇编指令 1.2.1 堆栈相关指令 1.2.2 数据传送指令 1.2.3 跳转与比较指令 1.3 C函数的参数传递过程第2章 C语言的流程和处理 2.1 C语言的循环反汇编 2.1.1 for循环 2.1.2 do循环 2.1.3 while循环 2.2 C 语言判断与分支的反汇编 2.2.1 if-else判断分支 2.2.2 switch-case判断分支 2.3 C语言的数组与结构 2.4 C语言的共用体和枚举类型第3章练习反汇编C语言程序 3.1 算法的反汇编 3.1.1 算法反汇编代码分析 3.1.2 算法反汇编阅读技巧 3.2 发行版的反汇编 3.3 汇编反C语言练习基础篇内核编程本书的第二部分，是编写Windows内核程序缡耩方法的基础。本部分包括第4-7章，如果读者对Windows内核编程已经有一定的了解，可以跳过本部分；如果读者从未接触过Windows内孩编程，本部分将指导读者开始Windows内核编程，学会使用WDK，并熟悉内核编程的习惯与方法。第4章内核字符串与内存 4.1 字符串的处理 4.1.1 使用字符串结构 4 1 2 字符串的初始化 4.1.3 字符串的拷贝 4.1.4 字符串的连接 4.1.5 字符串的打印 4 2 内存与链表 4 2.1 内存的分配与释放 4.2.2 使用LIST_ENTRY 4.2.3 使用长长整型数据 4.2.4 使用自旋锁第5章文件与注册表操作 5.1 文件操作 5.1.1 使片OBJECT_ATTRIBUTES 5.1.2 打开和关闭文件 5.1.3 文件读，写操作 5.2 注册表操作 5.2.1 注册表键的打开 5.2.2 注册表值的读 5 2 3 注册表值的写第6章时间与线程 6.1 时间与定时器 6.1.1 获得当前滴答数 6.1.2 获得当前系统时问 6.1.3 使用定时器 6.2 线程与事件 6.2.1 使用系统线程 6.2.2 在线程中睡眠 6.2.3 使用同步事件第7章驱动、设备与请求 7.1 驱动与设备 7.1.1 驱动入口与驱动对象 7.1.2 分发函数和卸载函数 7 1 3 设备与符号链接 7.1.4 设备的安全创建 7,1.5 设备与符号链接的用户相关性 7.2 请求处理 7.2.1 IRP与 IO L_STACK_LOCATION 7 2.2 打开与关闭请求的处理 7.2.3 应用层信息传入 7.2.4 驱动层信息传出探索篇研究内核本书的第三部分，开始探索Windows内核程序，并尝试阅读反汇编代码作为指引。本部分包括第8-10章。如果读者对Windows内棱编程已经有一定的了解，这一部分套比较有趣；如果读者从未接触过Windows内核编程，读者应该先学习第二部分。能自己编写内核程序并不意味着可以读懂内核，虽然反过来是一定成立的。读懂别人编写的没有代码的程序，比自己编写更困难一些，但的确是值得的。第8章进入Windows内核第9章用C++编写的内核程序第10章继续探索Windows内核深入篇修改内核这是本书的第四部分。读者已经尝试过探索Windows内核程序，并尝试阅读反汇编代码。那么接下来，必须掌握修改内核的方法。每一个Windows内核程序，都可以看做Windows内核本身的一个“补丁”。有时只需要独立存在，就能起到它的作用；有时却必须对已有的内核二进制代码进行部分修改。本部分包括第11—13章，主要介绍的是内核Hook。第11章机器码与反汇编引擎第12章 CPU权限级与分页机制第13章开发Windows内核Hook 实战篇实际开发实战部分是本书最深入和复杂的一部分，包括第14-17章。为了让前面练习的成果，在实际应用中产生价值，在这部分我们补充更多的理论知识并尝试用它们去做一点什么。这一部分包括指令分析、硬件基础知识、内核Hook的实际开发练习，以及将完成一个用到内核Hook的有趣的实例，这个实例有助于计算机阻挡各种病毒和木马的侵袭。此外，本部分遂包括特殊的一章，涉及如何巧妙地编写代码，来防止被其他不受欢迎的读者阅读。这与本书的主旨完全相反，正所谓物极必反。第14章反病毒、木马实例开发第15章 Rootkit与HIPS 第16章手写指令保护代码第17章用VMProtect保护代码

自己写的简单程序锁定键盘和鼠标已经写入注册表 开机自动启动，也就是点击后除非重新安装系统否则不能进行操作 hook编程隐藏了窗口 HookProcess\Debug

入手篇熟悉汇编　　本书的第一部分，将帮助读者消除对汇编的恐惧，熟悉汇编。本部分包括第1~3章。稍显枯燥的是，它们和Windows内核无关，是纯C语言与汇编语言的关系的章节。如果读者已经精通汇编语言，并能顺利阅读汇编代码，请直接跳过本部分。　　第1章汇编指令与C语言 2 　　1.1 上机建立第一个工程 4 　　1.1.1 用Visual Studio创建工程 4 　　1.1.2 用Visual Studio查看汇编代码 5 　　1.2 简要复习常用的汇编指令 6 　　1.2.1 堆栈相关指令 6 　　1.2.2 数据传送指令 7 　　1.2.3 跳转与比较指令 8 　　1.3 C函数的参数传递过程 9 　　第2章 C语言的流程和处理 14 　　2.1 C语言的循环反汇编 15 　　2.1.1 for循环 15 　　2.1.2 do循环 16 　　2.1.3 while循环 17 　　2.2 C语言判断与分支的反汇编 18 　　2.2.1 if-else判断分支 18 　　2.2.2 switch-case判断分支 19 　　2.3 C语言的数组与结构 22 　　2.4 C语言的共用体和枚举类型 24 　　第3章练习反汇编C语言程序 26 　　3.1 算法的反汇编 27 　　3.1.1 算法反汇编代码分析 27 　　3.1.2 算法反汇编阅读技巧 28 　　3.2 发行版的反汇编 29 　　3.3 汇编反C语言练习 33 　　基础篇内核编程　　本书的第二部分，是编写Windows内核程序编程方法的基础。本部分包括第4~7章，如果读者对Windows内核编程已经有一定的了解，可以跳过本部分；如果读者从未接触过Windows内核编程，本部分将指导读者开始Windows内核编程，学会使用WDK，并熟悉内核编程的习惯与方法。　　第4章内核字符串与内存 38 　　4.1 字符串的处理 39 　　4.1.1 使用字符串结构 39 　　4.1.2 字符串的初始化 41 　　4.1.3 字符串的拷贝 42 　　4.1.4 字符串的连接 42 　　4.1.5 字符串的打印 43 　　4.2 内存与链表 45 　　4.2.1 内存的分配与释放 45 　　4.2.2 使用LIST_ENTRY 46 　　4.2.3 使用长长整型数据 49 　　4.2.4 使用自选锁 50 　　第5章文件与注册表操作 52 　　5.1 文件操作 53 　　5.1.1 使用OBJECT_ATTRIBUTES 53 　　5.1.2 打开和关闭文件 54 　　5.1.3 文件读/写操作 58 　　5.2 注册表操作 60 　　5.2.1 注册表键的打开 60 　　5.2.2 注册表值的读 62 　　5.2.3 注册表值的写 65 　　第6章时间与线程 67 　　6.1 时间与定时器 68 　　6.1.1 获得当前滴答数 68 　　6.1.2 获得当前系统时间 69 　　6.1.3 使用定时器 70 　　6.2 线程与事件 73 　　6.2.1 使用系统线程 73 　　6.2.2 在线程中睡眠 75 　　6.2.3 使用同步事件 76 　　第7章驱动、设备与请求 79 　　7.1 驱动与设备 80 　　7.1.1 驱动入口与驱动对象 80 　　7.1.2 分发函数和卸载函数 80 　　7.1.3 设备与符号链接 82 　　7.1.4 设备的安全创建 83 　　7.1.5 设备与符号链接的用户相关性 85 　　7.2 请求处理 86 　　7.2.1 IRP与IO_STACK_LOCATION 86 　　7.2.2 打开与关闭请求的处理 88 　　7.2.3 应用层信息传入 89 　　7.2.4 驱动层信息传出 91 　　探索篇研究内核　　本书的第三部分，开始探索Windows内核程序，并尝试阅读反汇编代码作为指引。本部分包括第8~10章。如果读者对Windows内核编程已经有一定的了解，这一部分会比较有趣；如果读者从未接触过Windows内核编程，读者应该先学习第二部分。能自己编写内核程序并不意味着可以读懂内核，虽然反过来是一定成立的。读懂别人编写的没有代码的程序，比自己编写更困难一些，但的确是值得的。　　第8章进入Windows内核 96 　　8.1 开始Windows内核编程 97 　　8.1.1 内核编程的环境准备 97 　　8.1.2 用C语言写一个内核程序 99 　　8.2 学习用WinDbg进行调试 102 　　8.2.1 软件的准备 102 　　8.2.2 设置Windows XP调试执行 103 　　8.2.3 设置VMWare虚拟机调试 104 　　8.2.4 设置被调试机为Vista的情况 105 　　8.2.5 设置Windows内核符号表 106 　　8.2.6 调试例子diskperf 106 　　8.3 认识内核代码函数调用方式 107 　　8.4 尝试反写C内核代码 111 　　8.5 如何在代码中寻找需要的信息 113 　　第9章用C++编写的内核程序 117 　　9.1 用C++开发内核程序 118 　　9.1.1 建立一个C++的内核工程 118 　　9.1.2 使用C接口标准声明 119 　　9.1.3 使用类静态成员函数 120 　　9.1.4 实现new操作符 121 　　9.2 开始阅读一个反汇编的类 122 　　9.2.1 new操作符的实现 122 　　9.2.2 构造函数的实现 124 　　9.3 了解更多的C++特性 126 　　第10章继续探索Windows内核 131 　　10.1 探索Windows已有内核调用 132 　　10.2 自己实现XP的新调用 135 　　10.2.1 对照调试结果和数据结构 135 　　10.2.2 写出C语言的对应代码 137 　　10.3 没有符号表的情况 138 　　10.4 64位操作系统下的情况 141 　　10.4.1 分析64位操作系统的调用 143 　　10.4.2 深入了解64位内核调用参数传递 145 　　深入篇修改内核　　这是本书的第四部分。读者已经尝试过探索Windows内核程序，并尝试阅读反汇编代码。那么接下来，必须掌握修改内核的方法。每一个Windows内核程序，都可以看做Windows内核本身的一个“补丁”。有时只需要独立存在，就能起到它的作用；有时却必须对已有的内核二进制代码进行部分修改。本部分包括第11~13章，主要介绍的是内核Hook。　　第11章机器码与反汇编引擎 150 　　11.1 了解Intel的机器码 151 　　11.1.1 可执行指令与数据 151 　　11.1.2 单条指令的组成 152 　　11.1.3 MOD-REG-R/M的组成 155 　　11.1.4 其他的组成部分 157 　　11.2 反汇编引擎XDE32基本数据结构 159 　　11.3 反汇编引擎XDE32具体实现 162 　　第12章 CPU权限级与分页机制 166 　　12.1 Ring0和Ring3权限级 167 　　12.2 保护模式下的分页内存保护 169 　　12.3 分页内存不可执行保护 172 　　12.3.1 不可执行保护原理 172 　　12.3.2 不可执行保护的漏洞 173 　　12.4 权限级别的切换 177 　　12.4.1 调用门及其漏洞 178 　　12.4.2 sysenter和sysexit指令 181 　　第13章开发Windows内核Hook 186 　　13.1 XP下Hook系统调用IoCallDriver 187 　　13.2 Vista下IofCallDriver的跟踪 189 　　13.3 Vista下inline hook 193 　　13.3.1 写入跳转指令并拷贝代码 193 　　13.3.2 实现中继函数 196 　　实战篇实际开发　　实战部分是本书最深入和复杂的一部分，包括第14～17章。为了让前面练习的成果，在实际应用中产生价值，在这部分我们补充更多的理论知识并尝试用它们去做一点什么。这一部分包括指令分析、硬件基础知识、内核Hook的实际开发练习，以及将完成一个用到内核Hook的有趣的实例，这个实例有助于计算机阻挡各种病毒和木马的侵袭。　　此外，本部分还包括特殊的一章，涉及如何巧妙地编写代码，来防止被其他不受欢迎的读者阅读。这与本书的主旨完全相反，正所谓物极必反。　　第14章反病毒、木马实例开发 200 　　14.1 反病毒、木马的设想 201 　　14.2 开发内核驱动 204 　　14.2.1 在内核中检查可执行文件 204 　　14.2.2 在内核中生成设备接口 208 　　14.2.3 在内核中等待监控进程的响应 210 　　14.3 开发监控进程 216 　　14.4 本软件进一步展望 218 　　第15章 Rootkit与HIPS 220 　　15.1 Rootkit为何很重要 222 　　15.2 Rootkit如何逃过检测 224 　　15.3 HIPS如何检测Rootkit 234 　　第16章手写指令保护代码 237 　　16.1 混淆字符串 238 　　16.2 隐藏内核函数 244 　　16.3 混淆流程与数据操作 251 　　16.3.1 混淆函数出口 251 　　16.3.2 插入有意义的花指令 253 　　第17章用VMProtect保护代码 258 　　17.1 安装VMProtect 259 　　17.2 使用VMProtect 261 　　17.3 查看VMProtect效果 267

5,385

社区成员

262,729

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章