Windows热键注册原理-阿里云开发者社区

要像系统注册一个全局热键,需要用到RegisterHotKey,函数用法如下(MSDN):
BOOLRegisterHotKey(
HWNDhWnd,
intid,
UINTfsModifiers,
UINTvk
);
函数功能：该函数定义一个系统范围的热键。
　　函数原型：BOOLRegisterHotKey（HWNDhWnd，intid，UINTfsModifiers，UINTvk）；
　　参数：
　　hWnd：接收热键产生WM_HOTKEY消息的窗口句柄。若该参数NULL，传递给调用线程的WM_HOTKEY消息必须在消息循环中中进行处理。
　　id：定义热键的标识符。调用线程中的其他热键不能使用同样的标识符。应用功能程序必须定义一个0X0000-0xBFFF范围的值。一个共享的动态链接库（DLL）必须

定义一个0xC000-0xFFFF范围的值伯GlobalAddAtom函数返回该范围）。为了避免与其他动态链接库定义的热键冲突，一个DLL必须使用GlobalAddAtom函数获得热键的标

识符。
　　fsModifoers：定义为了产生WM_HOTKEY消息而必须与由nVirtKey参数定义的键一起按下的键。该参数可以是如下值的组合：
　　MOD_ALT：按下的可以是任一Alt键。MOD_CONTROL：按下的可以是任一Ctrl键。
　　MOD_SHIFT：按下的可以是任一Shift键。
　　MOD_WIN：按下的可以是任一Windows按键。这些键可以用MicrosoftWindows日志记录下来。
　　MOD_NOREPEAT：Windows7或者后续版本:更改热键行为，以便键盘自动重复不会产生多个热键通知。
　　vk：定义热键的虚拟键码。
　　返回值：若函数调用成功，返回一个非O值。若函数调用失败，则返回值为0。若要获得更多的错误信息，可以调用GetLastError函数。
　　备注：当某键被接下时，系统在所有的热键中寻找匹配者。一旦找到一个匹配的热键，系统将把WM_HOTKEY消息传递给登记了该热键的线程的消息队列。该消息被传

送到队列头部，因此它将在下一轮消息循环中被移去。该函数不能将热键同其他线程创建的窗口关联起来。
　　若为一热键定义的击键己被其他热键所定义，则RegisterHotKey函数调用失败。
　　若hWnd参数标识的窗口已用与id参数定义的相同的标识符登记了一个热键，则参数fsModifiers和vk的新值将替代这些参数先前定义的值。
　　WindowsCE：WindowsCE2.0以上版本对于参数fsModifiers支持一个附加的标志位。叫做MOD_KEYUP。
　　若设置MOD_KEYUP位，则当发生键被按下或被弹起的事件时，窗口将发送WM_HOTKEY消息。
　　RegisterHotKey可以被用来在线程之间登记热键。
　　速查：WindowsNT：3.1及以上版本；Windows：95及以上版本；WindowsCE：不支持；头文件：winuser.h；库文件：Hotkey.lib。
F12键是调试器所使用的保留，所以不应将其注册为热键

代码:

#defineMOD_ALT0x0001=1
#defineMOD_CONTROL0x0002=10
#defineMOD_SHIFT0x0004=100
#defineMOD_WIN0x0008=1000

在IDA中反汇编RegisterHotKey

代码:

.text:77D1EBB3moveax,11EAh//系统服务号
.text:77D1EBB8movedx,7FFE0300h
.text:77D1EBBDcalldwordptr[edx]
.text:77D1EBBFretn10h
.text:77D1EBBF_NtUserRegisterHotKey@16endp

系统把服务号保存在eax寄存器,直接call[edx]
OD查看得到7FFE0300

代码:

dd7FFE0300
7FFE03007C92E510ntdll.KiFastSystemCall
7FFE03047C92E514ntdll.KiFastSystemCallRet

Windbg查看得到

代码:

lkd>ddffdf0300l2
ffdf03007c92e5107c92e514

lkd>u7c92e510
7c92e5108bd4movedx,esp
7c92e5120f34sysenter

windows中0x7FFE0000和0x0FFDF0000被映射到同一个物理地址,供4KB,但在用户模式下该地址是不可写的,内核模式下的可写,4K空间操作系统占用一部分,
余下的大约有3K
USER:0x7FFE0000
KERNEL:0x0FFDF0000
在Windbg可用dtnt!_KUSER_SHARED_DATA命令查看该共享区域

代码:

lkd>dtnt!_KUSER_SHARED_DATA
+0x000TickCountLow:Uint4B
+0x004TickCountMultiplier:Uint4B
+0x008InterruptTime:_KSYSTEM_TIME
+0x014SystemTime:_KSYSTEM_TIME
+0x020TimeZoneBias:_KSYSTEM_TIME
+0x02cImageNumberLow:Uint2B
+0x02eImageNumberHigh:Uint2B
+0x030NtSystemRoot:[260]Uint2B
+0x238MaxStackTraceDepth:Uint4B
+0x23cCryptoExponent:Uint4B
+0x240TimeZoneId:Uint4B
+0x244Reserved2:[8]Uint4B
+0x264NtProductType:_NT_PRODUCT_TYPE
+0x268ProductTypeIsValid:UChar
+0x26cNtMajorVersion:Uint4B
+0x270NtMinorVersion:Uint4B
+0x274ProcessorFeatures:[64]UChar
+0x2b4Reserved1:Uint4B
+0x2b8Reserved3:Uint4B
+0x2bcTimeSlip:Uint4B
+0x2c0AlternativeArchitecture:_ALTERNATIVE_ARCHITECTURE_TYPE
+0x2c8SystemExpirationDate:_LARGE_INTEGER
+0x2d0SuiteMask:Uint4B
+0x2d4KdDebuggerEnabled:UChar
+0x2d5NXSupportPolicy:UChar
+0x2d8ActiveConsoleId:Uint4B
+0x2dcDismountCount:Uint4B
+0x2e0ComPlusPackage:Uint4B
+0x2e4LastSystemRITEventTickCount:Uint4B
+0x2e8NumberOfPhysicalPages:Uint4B
+0x2ecSafeBootMode:UChar
+0x2f0TraceLogging:Uint4B
+0x2f8TestRetInstruction:Uint8B
+0x300SystemCall:Uint4B
+0x304SystemCallReturn:Uint4B
+0x308SystemCallPad:[3]Uint8B
+0x320TickCount:_KSYSTEM_TIME
+0x320TickCountQuad:Uint8B
+0x330Cookie:Uint4B

11EA=1000111101010=13~14位选择服务描述表,选择KeServiceDescriptorTableShadow,系统共有4个服务描述表,第一个在ntoskrnl.exe中
并导出KeServiceDescriptorTable指针

可见该函数没做任何处理直接进入内核(win32k.sys)中,在Windbg反汇编:

代码:

lkd>ufwin32k!NtUserRegisterHotKey
win32k!NtUserRegisterHotKey+0x34:
bf89972033c0xoreax,eax//eax=NULL
bf899722eb29jmpwin32k!NtUserRegisterHotKey+0x36(bf89974d)

win32k!NtUserRegisterHotKey:
bf8997298bffmovedi,edi
bf89972b55pushebp
bf89972c8becmovebp,esp
bf89972e56pushesi
bf89972fe8b673f6ffcallwin32k!EnterCrit(bf800aea)
bf899734f74510f07ffffftestdwordptr[ebp+10h],0FFFF7FF0h//fsModifiers是否有效,是否大于1000b11111111111111110111111111110000


bf89973b752djnewin32k!NtUserRegisterHotKey+0x14(bf89976a)//fsModifiers无效则跳转

win32k!NtUserRegisterHotKey+0x20:
bf89973d8b4d08movecx,dwordptr[ebp+8]//hWnd
bf89974085c9testecx,ecx
bf89974274dcjewin32k!NtUserRegisterHotKey+0x34(bf899720)//hWnd==NULL

win32k!NtUserRegisterHotKey+0x27:
bf899744e86a7ef6ffcallwin32k!ValidateHwnd(bf8015b3)//则验证句柄
bf89974985c0testeax,eax
bf89974b7427jewin32k!NtUserRegisterHotKey+0x30(bf899774)//返回NULL

win32k!NtUserRegisterHotKey+0x36:
bf89974dff7514pushdwordptr[ebp+14h]//vk
bf899750ff7510pushdwordptr[ebp+10h]//fsModifiers
bf899753ff750cpushdwordptr[ebp+0Ch]//id
bf89975650pusheax//pWnd
bf899757e8aefeffffcallwin32k!_RegisterHotKey(bf89960a)
bf89975c8bf0movesi,eax

win32k!NtUserRegisterHotKey+0x47:
bf89975ee8b373f6ffcallwin32k!LeaveCrit(bf800b16)
bf8997638bc6moveax,esi
bf8997655epopesi
bf8997665dpopebp
bf899767c21000ret10h

win32k!NtUserRegisterHotKey+0x14:
bf89976a68ec030000push3ECh//错误码:1004,参数无效
bf89976fe83da0f6ffcallwin32k!UserSetLastError(bf8037b1)

win32k!NtUserRegisterHotKey+0x30:
bf89977433f6xoresi,esi
bf899776ebe6jmpwin32k!NtUserRegisterHotKey+0x47(bf89975e)

/***************************************/
PWNDFASTCALLValidateHwnd(
HWNDhwnd);

//NtUserRegisterHotKey伪代码:

代码:

BOOLENAPIENTRY
NtUserRegisterHotKey(HWNDhWnd,
intid,
UINTfsModifiers,
UINTvk)
{
BOOLENbRet;
PWNDpWnd=NULL;
EnterCrit();
if(!(fsModifiers&0x0FFFF7FF0h))
{
if(hWnd)
{
pWnd=ValidateHwnd(hWnd);
}
bRet=_RegisterHotKey(pWnd,id,fsModifiers,vk);
}
else
{
UserSetLastError(1004);//1004无效标志
bRet=FALSE;
}
LeaveCrit();
returnbRet;
}

//系统热键结构:

代码:

typedefstruct_HOT_KEY_ITEM
{
PETHREADThread;
HWNDspwnd;
UINTfsModifiers;
UINTvk;
intid;
struct_HOT_KEY_ITEMphkNext;
}HOT_KEY_ITEM,*PHOT_KEY_ITEM;

_RegisterHotKey伪代码如下:

代码:

BOOL_RegisterHotKey(
PWNDpwnd,
intid,
UINTfsModifiers,
UINTvk)
{
PHOT_KEY_ITEMphk;
BOOLfKeysExist=FALSE;
PTHREADINFOptiCurrent;
PWINDOWSTATIONpwinsta=_GetProcessWindowStation(NULL);
DWORDErrorCode;

ptiCurrent=gptiCurrent;

//如果调用者不是WindowStation初始化的线程和不适当的权限
if(grpwinstaList&&!CheckWinstaWriteAttributesAccess())
{
returnFALSE;
}

//不能为其他线程的窗口注册热键
if((pwnd!=PWND_FOCUS)&&(pwnd!=PWND_INPUTOWNER))
{
if(GETPTI(pwnd)!=ptiCurrent)
{
UserSetLastError(1408);//1408错误码:无效窗口；它属于另一线程。
returnFALSE;
}
}

phk=FindHotKey(ptiCurrent,pwnd,id,fsModifiers,vk,FALSE,&fKeysExist);

//如果其他线程已经注册过该热键,返回FALSE
if(fKeysExist)
{
UserSetLastError(1409);//1409错误码:热键已被注册
returnFALSE;
}

if(phk==NULL)
{

//热键并未被注册
phk=(PHOT_KEY_ITEM)HeavyAllocPool(sizeof(HOT_KEY_ITEM),TAG_HOTKEY);

//分配失败,返回FALSE
if(phk==NULL)
{
returnFALSE;
}

phk->pti=ptiCurrent;

if((pwnd!=PWND_FOCUS)&&(pwnd!=PWND_INPUTOWNER))
{
phk->spwnd=NULL;
HMAssignmentLock(&phk->spwnd,pwnd);
}
else
{
phk->spwnd=pwnd;
}
phk->fsModifiers=fsModifiers;
phk->vk=vk;
phk->id=id;

//插入到系统热键链表中
//gphkFirst-这是不导出变量存储了系统结构热键(phkNext指向下一个热键结构域)地址
phk->phkNext=gphkFirst;
gphkFirst=phk;

}
else
{
//如果本线程已注册过该热键,则重新覆盖
phk->fsModifiers=fsModifiers;
phk->vk=vk;
}
returnTRUE;
}

//用Windbg查看下gphkFirst

代码:

lkd>ddgphkFirstL1
bf9af814e2ce10d8

e2ce10d8就是最近一次软件向系统注册的全局热键,继续

代码:

lkd>dde2ce10d8l6
e2ce10d8e2265008bbe35a280000000300000054
e2ce10e80000c024e2291a68

e2265008是ETHREAD,查看发现是QQ的一个线程
bbe35a28是窗口句柄
00000003是功能键11,说明有Ctrl+Alt键
00000054是VK_?,0x54对应ASCI码的大写T,Ctrl+ATL+T(QQ上:发送腾讯微博的)
0000c024是热键的ID
e2291a68是下一个热键结构

代码:

PHOT_KEY_ITEMFindHotKey(
PTHREADINFOptiCurrent,
PWNDpwnd,
intid,
UINTfsModifiers,
UINTvk,
BOOLfUnregister,
PBOOLpfKeysExist)
{
PHOT_KEY_ITEMphk,phkRet,phkPrev;

//初始化返回值
*pfKeysExist=FALSE;
phkRet=NULL;

phk=gphkFirst;

while(phk)
{

if((phk->pti==ptiCurrent)&&(phk->spwnd==pwnd)&&(phk->id==id))
{
if(fUnregister)
{

//摘掉热键
if(phk==gphkFirst)
{
gphkFirst=phk->phkNext;
}
else
{
phkPrev->phkNext=phk->phkNext;
}

if((pwnd!=PWND_FOCUS)&&(pwnd!=PWND_INPUTOWNER))
{
Unlock(&phk->spwnd);
}
UserFreePool((PVOID)phk);

return((PHOT_KEY_ITEM)1);
}
phkRet=phk;
}

//如果热键已经注册过,设置已存在标志
if((phk->fsModifiers==fsModifiers)&&(phk->vk==vk))
{
if(phk->spwnd==PWND_FOCUS)
{
if(phk->pti==ptiCurrent)
{
*pfKeysExist=TRUE;
}
}
else
{
*pfKeysExist=TRUE;
}
}

phkPrev=phk;
phk=phk->phkNext;
}

returnphkRet;
}

//遍历系统热键

代码:

VOIDDumpHotKeys()
{
ULONGdwAddr;
KAPC_STATEApcState;
PETHREADpThread;
PEPROCESSpProc;
PHOTKEYphk;

//必须在GUI线程中遍历
KeStackAttachProcess(pExpEprocess,&ApcState);
dwAddr=*(PULONG)gphkFirst;
KeUnstackDetachProcess(&ApcState);
phk=(PHOTKEY)dwAddr;

//解析系统所有热键
while(phk!=NULL)
{
pThread=*(PULONG)phk->pti;
//0x220位置指向当前线程的EPROCESS
pProc=*(PULONG)((ULONG)pThread+0x220);

//EPROCESS+0x174指向进程名字
KdPrint(("ProcessName:%s\n",(ULONG)pProc+0x174));
KdPrint(("id:%d\n",phk->id));
KdPrint(("Combination:%s+%X\n",GetButton(phk->fsModifiers),phk->vk));
KdPrint(("------------------------------------------\n"));
phk=phk->phkNext;
}
}

Windows热键注册原理

热门文章

最新文章

相关电子书

相关实验场景