已安裝的窗口鉤子列表

Question

如何獲取Windows中全局安裝的鉤子列表（使用SetWindowsHookEx API）？

Answer 1

一個邪惡的方式是在任何其他事情得到機會之前勾住所有的掛鉤函數。

Answer 2

見

• http://www.ntinternals.org/source.php

---

• http://blog.airesoft.co.uk/2011/07/hookers-underneath-the-sheets/

尋找掛鉤相對於其他操作，枚舉installe d 掛鉤非常容易。

線程特定的鉤子記錄在win32k每線程數據中 結構標記爲THREADINFO 1，而且富有想象力。這基本上是ETHREAD/TEB類似結構，但是專門爲用戶和gdi信息量身定製的 。它的一個成員 （aphkStart）是一個16個元素的指針數組，它們分別是 或者指向NULL，或者是一個HOOK結構鏈表的頭部。枚舉掛鉤只是衡量這些鏈條的行爲。

爲了方便起見，並大概所以看到 如果任何鉤設置不要求迭代中，一個ThreadInfo包含另一個構件，fsHooks， 其是位字段。如果有一位打開，則 掛鉤數組中的對應索引有效。而不是33比較（NULL爲16，而for循環爲 ），告訴是否有鉤子只需要一個，漂亮！

全球鉤，這是每桌面2，也存儲在一個 每個對象結構，也想象力命名（DESKTOPINFO），並且 也被存儲在具有伴隨位域的陣列。橋接 兩個是pDeskInfo，是THREADINFO的成員，它指向它擁有的 DESKTOPINFO。

儘管在介紹中腹瀉，但與所有這些 一起工作，實際上並不太難。 win32k.sys的Windows 7符號包含它們的佈局，這很好。 雖然Vista/Server 2008時代的標誌不是，但這是 學習的組件來節省一天。

知道這些結構，看起來就像是一兩件事，在他們獲得 是另一個...

已經得到了他們我們的骯髒的手套，我們發現鉤狀結構記錄 大部分的相關信息本身：

struct tagHOOK 
{ 
    THRDESKHEAD head; // info about the creator 
    struct tagHOOK* phkNext; // next entry in linked list 
    int iHook; // WH_ hook type 
    UINT_PTR offPfn; // RVA to hook function in ihmod library 
    UINT flags; // HF_ flags (GLOBAL, ANSI) 
    int ihmod; 
    THREADINFO* ptiHooked; // the hooked thread 
    PVOID rpDesk; // saved desktop pointer 
    ULONG nTimeout :7; 
    ULONG fLastHookHung :1; 
}; 

您也可以下載software here

---

• http://shiftlock.wordpress.com/2011/06/22/windows-hooks-detector

，用於檢測安裝全局鉤子概述如下：

1. 呼叫PsGetCurrentThread，並獲得當前線程的ETHREAD結構。根據MSDN文檔 ，ETHREAD是一個不透明的數據結構。
2. 通過調用PsGetThreadWin32Thread來提取THREADINFO結構。他們兩人都沒有證件。
3. 提取DESKTOPINFO。
4. 在那裏你可以找到所有全局安裝的鉤子。他們被組織在一個陣列中。每個元素都是一個鏈表，並對應於 一個特定的鉤子（WH_ *）。

，用於檢測安裝在本地鉤的概述如下：

1. 給定線程ID。
2. 呼叫PsLookupThreadByThreadId並獲得指定線程的ETHREAD結構。
3. 通過調用PsGetThreadWin32Thread提取的ThreadInfo結構。
4. 在那裏你可以找到指定線程的所有本地安裝的鉤子。他們被組織在一個陣列中。每個元素都是一個 鏈表，並對應於一個特定的鉤子（WH_ *）。

可以看到source here

---

• https://github.com/tigros/HookTools

插件過程哈克2（http://processhacker.sourceforge.net） 顯示系統的鉤和能夠解開（右點擊菜單）。

抓取Process Hacker源並編譯它，然後將 HookTools.vcxproj添加到Plugins.sln。 VS 2013被使用。在VC++目錄中設置您的庫 路徑。

---

或相關與答題這裏

• Detecting Keyboard Hooks
• https://security.stackexchange.com/questions/17904/what-are-the-methods-to-find-hooked-functions-and-apis

但我還沒有找到一個可靠的方式來做到這一點。