关于注入后，消息截取的问题。（注入后SetWindowLongPtr）

2014-02-08 03:51:26 320 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

虚拟机环境下的冰河木马攻防实战：从部署到清除的完整闭环远程控制与恶意软件是网络安全领域的核心概念，其基本原理是通过网络连接实现对目标系统的非授权访问与控制。从技术原理上看，这类软件通常采用客户端-服务器架构，利用系统漏洞或社会工程学手段植入，并通过进程隐藏、自启动等技术实现持久化驻留。理解其工作机制对于构建有效的防御体系具有重要价值，尤其在提升应急响应和威胁检测能力方面。在应用场景上，安全研究人员和运维工程师常在受控的沙箱环境中，通过部署和分析经典样本（如冰河木马）来深入理解攻击链。本次实战演练聚焦于在虚拟机隔离环境中，完整复现包括网络配置、进程分析和注册表检阅读详情

最近再写一个工具。

思路如下：
讲DLL注入到目标进程，然后调用SetWindowLongPtr()修改工程函数。。
我注入的是MFC的DLL。

问题：
能监控到WM_COMMAND消息。但是不能监控到WM_KEYDOWND 消息。

起初怀疑是被注入后，显示的窗口截取了。。但是重载了，PreTranslateMessage（）发现并没有接受到。。因为PreTranslateMessage 是所有消息都要先经过这里，再经过消息循环。

希望各位网友指点下，下面贴出DLL里面的代码：

//消息过程函数

LRESULT CALLBACK MyWindowProc(

                              HWND hwnd,      // handle to window

                              UINT uMsg,      // message identifier

                              WPARAM wParam,  // first message parameter

                              LPARAM lParam   // second message parameter

                              )

{

    CString strMsg;

    strMsg.Format("监视到的消息: %x",uMsg);

    OutputDebugStringA(strMsg);

    if (uMsg == WM_KEYDOWN)

    {

        OutputDebugStringA("响应了 WM_KEYDOWN 消息");

    }

    return CallWindowProc(g_OldProc,hwnd,uMsg,wParam,lParam);

}



//下面开始读取共享内存中的数据.

    HANDLE hfileMap = OpenFileMapping(FILE_MAP_ALL_ACCESS,FALSE,"MyMemory");

    if (hfileMap == NULL)

    {

        ::MessageBox(NULL,"打开共享内存失败.",NULL,NULL);

    }

    LPVOID pShareMem = ::MapViewOfFile(hfileMap,

        FILE_MAP_ALL_ACCESS,

        0,

        0,

        0);



    //获取窗口句柄.

    CString str = (char*)pShareMem;



    HWND hCalc = (HWND)atoi(str.GetBuffer(str.GetLength()));

    //::MessageBox(NULL,str,NULL,NULL);



    //修改窗口过程函数.

    g_OldProc = (WNDPROC)::SetWindowLongPtr(hCalc, 

        GWLP_WNDPROC, 

        (LONG)MyWindowProc);



    if (g_OldProc == 0)

    { 

        ::MessageBox(NULL, "修改过程函数失败", NULL, MB_OK);

    }