转载<br><br>鼠标屏幕取词技术的原理和实现 <br><br> 白瑜 <br><br><br> “鼠标屏幕取词”技术是在电子字典中得到广泛地应用的 ,如四通利方和金山词霸等软件 ,这个技术看似简单 ,其实在 windows 系统中实现却是非常复杂的 ,总的来说有两种实现方式 :<br><br> 第一种 : 采用截获对部分 gdi 的 api 调用来实现 ,如 textout,textouta 等。 <br><br> 第二种 : 对每个设备上下文 (dc) 做一分 copy,并跟踪所有修改上下文 (dc) 的操作。 <br><br> 第二种方法更强大 ,但兼容性不好 ,而第一种方法使用的截获 windowsapi 的调用 ,这项技术的强大可能远远超出了您的想象 ,毫不夸张的说 ,利用 windowsapi 拦截技术 ,你可以改造整个操作系统 ,事实上很多外挂式 windows 中文平台就是这么实现的！而这项技术也正是这篇文章的主题。 <br><br> 截 windowsapi 的调用 ,具体的说来也可以分为两种方法 :<br><br> 第一种方法通过直接改写 winapi 在内存中的映像 ,嵌入汇编代码 ,使之被调用时跳转到指定的地址运行来截获 ; 第二种方法则改写 iat(import address table 输入地址表 ),重定向 winapi 函数的调用来实现对 winapi 的截获。 <br><br> 第一种方法的实现较为繁琐 ,而且在 win95 、 98 下面更有难度 ,这是因为虽然微软说 win16 的 api 只是为了兼容性才保留下来 ,程序员应该尽可能地调用 32 位的 api,实际上根本就不是这样！ win 9x 内部的大部分 32 位 api 经过变换调用了同名的 16 位 api,也就是说我们需要在拦截的函数中嵌入 16 位汇编代码！ <br><br> 我们将要介绍的是第二种拦截方法 ,这种方法在 win95 、 98 和 nt 下面运行都比较稳定 ,兼容性较好。由于需要用到关于 windows 虚拟内存的管理、打破进程边界墙、向应用程序的进程空间中注入代码、 pe(portable executable) 文件格式和 iat( 输入地址表 ) 等较底层的知识 ,所以我们先对涉及到的这些知识大概地做一个介绍 ,最后会给出拦截部分的关键代码。 <br><br> 先说 windows 虚拟内存的管理。 windows9x 给每一个进程分配了 4gb 的地址空间 ,对于 nt 来说 ,这个数字是 2gb,系统保留了 2gb 到 4gb 之间的地址空间禁止进程访问 ,而在 win9x 中 ,2gb 到 4gb 这部分虚拟地址空间实际上是由所有的 win32 进程所共享的 ,这部分地址空间加载了共享 win32 dll 、内存映射文件和 vxd 、内存管理器和文件系统码 ,win9x 中这部分对于每一个进程都是可见的 ,这也是 win9x 操作系统不够健壮的原因。 win9x 中为 16 位操作系统保留了 0 到 4mb 的地址空间 ,而在 4mb 到 2gb 之间也就是 win32 进程私有的地址空间 ,由于 每个进程的地址空间都是相对独立的 ,也就是说 ,如果程序想截获其它进程中的 api 调用 ,就必须打破进程边界墙 ,向其它的进程中注入截获 api 调用的代码 ,这项工作我们交给钩子函数 (setwindowshookex) 来完成 ,关于如何创建一个包含系统钩子的动态链接库 ,《电脑高手杂志》在第？期已经有过专题介绍了 ,这里就不赘述了。所有系统钩子的函数必须要在动态库里 ,这样的话 ,当进程隐式或显式调用一个动态库里的函数时 ,系统会把这个动态库映射到这个进程的虚拟地址空间里 ,这使得 dll 成为进程的一部分 ,以这个进程的身份执行 ,使用这个进程的堆栈 ,也就是说动态链接库中的代码被钩子函数注入了其它 gui 进程的地址空间 ( 非 gui 进程 ,钩子函数就无能为力了 ),<br><br>当包含钩子的 dll 注入其它进程后 ,就可以取得映射到这个进程虚拟内存里的各个模块 (exe 和 dll) 的基地址 ,如 :<br><br>hmodule hmodule=getmodulehandle( “ mypro.exe ” );<br><br>在 mfc 程序中 ,我们可以用 afxgetinstancehandle() 函数来得到模块的基地址。 exe 和 dll 被映射到虚拟内存空间的什么地方是由它们的基地址决定的。它们的基地址是在链接时由链接器决定的。当你新建一个 win32 工程时 ,vc++ 链接器使用缺省的基地址 0x00400000 。可以通过链接器的 base 选项改变模块的基地址。 exe 通常被映射到虚拟内存的 0x00400000 处 ,dll 也随之有不同的基地址 ,通常被映射到不同进程 <br><br>的相同的虚拟地址空间处。 <br><br>系统将 exe 和 dll 原封不动映射到虚拟内存空间中 ,它们在内存中的结构与磁盘上的静态文件结构是一样的。即 pe (portable executable) 文件格式。我们得到了进程模块的基地址以后 ,就可以根据 pe 文件的格式穷举这个模块的 image_import_descriptor 数组 ,看看进程空间中是否引入了我们需要截获的函数所在的动态链接库 ,比如需要截获“ textouta ” ,就必须检查“ gdi32.dll ”是否被引入了。说到这里 ,我们有必要介绍一下 pe 文件的格式 ,如右图 ,这是 pe 文件格式的大致框图 ,最前面是文件头 ,我们不必理会 ,从 pe file optional header 后面开始 ,就是文件中各个段的说明 ,说明后面才是真正的段数据 ,而实际上我们关心的只有一个段 ,那就是“ .idata ”段 ,这个段中包含了所有的引入函数信息 ,还有 iat(import address table) 的 rva(relative virtual address) 地址。 <br><br>说到这里 ,截获 windowsapi 的整个原理就要真相大白了。实际上所有进程对给定的 api 函数的调用总是通过 pe 文件的一个地方来转移的 ,这就是一个该模块 ( 可以是 exe 或 dll) 的“ .idata ”段中的 iat 输入地址表 (import address table) 。在那里有所有本模块调用的其它 dll 的函数名及地址。对其它 dll 的函数调用实际上只是跳转到输入地址表 ,由输入地址表再跳转到 dll 真正的函数入口。 <br><br><br>具体来说 ,我们将通过 image_import_descriptor 数组来访问“ .idata ”段中引入的 dll 的信息 ,然后通过 image_thunk_data 数组来针对一个被引入的 dll 访问该 dll 中被引入的每个函数的信息 ,找到我们需要截获的函数的跳转地址 ,然后改成我们自己的函数的地址……具体的做法在后面的关键代码中会有详细的讲解。 <br><br> 讲了这么多原理 ,现在让我们回到“鼠标屏幕取词”的专题上来。除了 api 函数的截获 ,要实现“鼠标屏幕取词” ,还需要做一些其它的工作 ,简单的说来 ,可以把一个完整的取词过程归纳成以下几个步骤 :<br><br>1 ． 安装鼠标钩子 ,通过钩子函数获得鼠标消息。 <br><br>使用到的 api 函数 :setwindowshookex<br><br>2 ． 得到鼠标的当前位置 ,向鼠标下的窗口发重画消息 ,让它调用系统函数重画窗口。 <br><br> 使用到的 api 函数 :windowfrompoint,screentoclient,invalidaterect<br><br>3 ． 截获对系统函数的调用 ,取得参数 ,也就是我们要取的词。 <br><br>对于大多数的 windows 应用程序来说 ,如果要取词 ,我们需要截获的是“ gdi32.dll ”中的“ textouta ”函数。 <br><br>我们先仿照 textouta 函数写一个自己的 mytextouta 函数 ,如 :<br><br>bool winapi mytextouta(hdc hdc, int nxstart, int nystart, lpcstr lpszstring,int cbstring)<br><br>{<br><br> // 这里进行输出 lpszstring 的处理 <br><br> // 然后调用正版的 textouta 函数 <br><br>}<br><br>把这个函数放在安装了钩子的动态连接库中 ,然后调用我们最后给出的 hookimportfunction 函数来截获进程 <br><br>对 textouta 函数的调用 ,跳转到我们的 mytextouta 函数 ,完成对输出字符串的捕捉。 hookimportfunction 的 <br><br>用法 :<br><br> hookfuncdesc hd;<br><br> proc porigfuns;<br><br> hd.szfunc="textouta";<br><br> hd.pproc=(proc)mytextouta;<br><br> hookimportfunction (afxgetinstancehandle(),"gdi32.dll",&hd,porigfuns);<br><br>下面给出了 hookimportfunction 的源代码 ,相信详尽的注释一定不会让您觉得理解截获到底是怎么实现的 <br><br>很难 ,ok,let ’ s go:<br><br><br>///////////////////////////////////////////// begin ///////////////////////////////////////////////////////////////<br><br>#include <crtdbg.h><br><br><br>// 这里定义了一个产生指针的宏 <br><br>#define makeptr(cast, ptr, addvalue) (cast)((dword)(ptr)+(dword)(addvalue))<br><br><br>// 定义了 hookfuncdesc 结构 ,我们用这个结构作为参数传给 hookimportfunction 函数 <br><br>typedef struct tag_hookfuncdesc<br><br>{<br><br> lpcstr szfunc; // the name of the function to hook.<br><br> proc pproc; // the procedure to blast in.<br><br>} hookfuncdesc , * lphookfuncdesc;<br><br><br>// 这个函数监测当前系统是否是 windownt<br><br>bool isnt();<br><br><br>// 这个函数得到 hmodule -- 即我们需要截获的函数所在的 dll 模块的引入描述符 (import descriptor)<br><br>pimage_import_descriptor getnamedimportdescriptor(hmodule hmodule, lpcstr szimportmodule);<br><br><br>// 我们的主函数 <br><br>bool hookimportfunction(hmodule hmodule, lpcstr szimportmodule,<br><br> lphookfuncdesc pahookfunc, proc* paorigfuncs)<br><br>{<br><br>/////////////////////// 下面的代码检测参数的有效性 ////////////////////////////<br><br> _assert(szimportmodule);<br><br> _assert(!isbadreadptr(pahookfunc, sizeof(hookfuncdesc)));<br><br>#ifdef _debug<br><br> if (paorigfuncs) _assert(!isbadwriteptr(paorigfuncs, sizeof(proc)));<br><br> _assert(pahookfunc.szfunc);<br><br> _assert(*pahookfunc.szfunc != '/0');<br><br> _assert(!isbadcodeptr(pahookfunc.pproc));<br><br>#endif<br><br> if ((szimportmodule == null) || (isbadreadptr(pahookfunc, sizeof(hookfuncdesc))))<br><br> {<br><br> _assert(false);<br><br> setlasterrorex(error_invalid_parameter, sle_error);<br><br> return false;<br><br> }<br><br>//////////////////////////////////////////////////////////////////////////////<br><br><br> // 监测当前模块是否是在 2gb 虚拟内存空间之上 <br><br> // 这部分的地址内存是属于 win32 进程共享的 <br><br> if (!isnt() && ((dword)hmodule >= 0x80000000))<br><br> {<br><br> _assert(false);<br><br> setlasterrorex(error_invalid_handle, sle_error);<br><br> return false;<br><br> }<br><br> // 清零 <br><br> if (paorigfuncs) memset(paorigfuncs, null, sizeof(proc));<br><br><br> // 调用 getnamedimportdescriptor() 函数 ,来得到 hmodule -- 即我们需要 <br><br> // 截获的函数所在的 dll 模块的引入描述符 (import descriptor)<br><br> pimage_import_descriptor pimportdesc = getnamedimportdescriptor(hmodule, szimportmodule);<br><br> if (pimportdesc == null)<br><br> return false; // 若为空 ,则模块未被当前进程所引入 <br><br><br> // 从 dll 模块中得到原始的 thunk 信息 ,因为 pimportdesc->firstthunk 数组中的原始信息已经 <br><br> // 在应用程序引入该 dll 时覆盖上了所有的引入信息 ,所以我们需要通过取得 pimportdesc->originalfirstthunk<br><br> // 指针来访问引入函数名等信息 <br><br> pimage_thunk_data porigthunk = makeptr(pimage_thunk_data, hmodule,<br><br> pimportdesc->originalfirstthunk);<br><br><br> // 从 pimportdesc->firstthunk 得到 image_thunk_data 数组的指针 ,由于这里在 dll 被引入时已经填充了 <br><br> // 所有的引入信息 ,所以真正的截获实际上正是在这里进行的 <br><br> pimage_thunk_data prealthunk = makeptr(pimage_thunk_data, hmodule, pimportdesc->firstthunk);<br><br><br> // 穷举 image_thunk_data 数组 ,寻找我们需要截获的函数 ,这是最关键的部分 !<br><br> while (porigthunk->u1.function)<br><br> {<br><br> // 只寻找那些按函数名而不是序号引入的函数 <br><br> if (image_ordinal_flag != (porigthunk->u1.ordinal & image_ordinal_flag))<br><br> {<br><br> // 得到引入函数的函数名 <br><br> pimage_import_by_name pbyname = makeptr(pimage_import_by_name, hmodule,<br><br> porigthunk->u1.addressofdata);<br><br><br> // 如果函数名以 null 开始 ,跳过 ,继续下一个函数 <br><br> if ('/0' == pbyname->name[0])<br><br> continue;<br><br><br> // bdohook 用来检查是否截获成功 <br><br> bool bdohook = false;<br><br><br> // 检查是否当前函数是我们需要截获的函数 <br><br> if ((pahookfunc.szfunc[0] == pbyname->name[0]) &&<br><br> (strcmpi(pahookfunc.szfunc, (char*)pbyname->name) == 0))<br><br> {<br><br> // 找到了 !<br><br> if (pahookfunc.pproc)<br><br> bdohook = true;<br><br> }<br><br> if (bdohook)<br><br> {<br><br> // 我们已经找到了所要截获的函数 ,那么就开始动手吧 <br><br> // 首先要做的是改变这一块虚拟内存的内存保护状态 ,让我们可以自由存取 <br><br> memory_basic_information mbi_thunk;<br><br> virtualquery(prealthunk, &mbi_thunk, sizeof(memory_basic_information));<br><br> _assert(virtualprotect(mbi_thunk.baseaddress, mbi_thunk.regionsize,<br><br> page_readwrite, &mbi_thunk.protect));<br><br><br> // 保存我们所要截获的函数的正确跳转地址 <br><br> if (paorigfuncs)<br><br> paorigfuncs = (proc)prealthunk->u1.function;<br><br><br> // 将 image_thunk_data 数组中的函数跳转地址改写为我们自己的函数地址 !<br><br> // 以后所有进程对这个系统函数的所有调用都将成为对我们自己编写的函数的调用 <br><br> prealthunk->u1.function = (pdword)pahookfunc.pproc;<br><br><br> // 操作完毕 !将这一块虚拟内存改回原来的保护状态 <br><br> dword dwoldprotect;<br><br> _assert(virtualprotect(mbi_thunk.baseaddress, mbi_thunk.regionsize,<br><br> mbi_thunk.protect, &dwoldprotect));<br><br> setlasterror(error_success);<br><br> return true;<br><br> }<br><br> }<br><br> // 访问 image_thunk_data 数组中的下一个元素 <br><br> porigthunk++;<br><br> prealthunk++;<br><br> }<br><br> return true;<br><br>}<br><br><br>// getnamedimportdescriptor 函数的实现 <br><br>pimage_import_descriptor getnamedimportdescriptor(hmodule hmodule, lpcstr szimportmodule)<br><br>{<br><br> // 检测参数 <br><br> _assert(szimportmodule);<br><br> _assert(hmodule);<br><br> if ((szimportmodule == null) || (hmodule == null))<br><br> {<br><br> _assert(false);<br><br> setlasterrorex(error_invalid_parameter, sle_error);<br><br> return null;<br><br> }<br><br><br> // 得到 dos 文件头 <br><br> pimage_dos_header pdosheader = (pimage_dos_header) hmodule;<br><br><br> // 检测是否 mz 文件头 <br><br> if (isbadreadptr(pdosheader, sizeof(image_dos_header)) ||<br><br> (pdosheader->e_magic != image_dos_signature))<br><br> {<br><br> _assert(false);<br><br> setlasterrorex(error_invalid_parameter, sle_error);<br><br> return null;<br><br> }<br><br><br> // 取得 pe 文件头 <br><br> pimage_nt_headers pntheader = makeptr(pimage_nt_headers, pdosheader, pdosheader->e_lfanew);<br><br><br> // 检测是否 pe 映像文件 <br><br> if (isbadreadptr(pntheader, sizeof(image_nt_headers)) ||<br><br> (pntheader->signature != image_nt_signature))<br><br> {<br><br> _assert(false);<br><br> setlasterrorex(error_invalid_parameter, sle_error);<br><br> return null;<br><br> }<br><br><br> // 检查 pe 文件的引入段 ( 即 .idata section)<br><br> if (pntheader->optionalheader.datadirectory[image_directory_entry_import].virtualaddress == 0)<br><br> return null;<br><br><br> // 得到引入段 ( 即 .idata section) 的指针 <br><br> pimage_import_descriptor pimportdesc = makeptr(pimage_import_descriptor, pdosheader,<br><br> pntheader->optionalheader.datadirectory[image_directory_entry_import].virtualaddress);<br><br><br> // 穷举 pimage_import_descriptor 数组寻找我们需要截获的函数所在的模块 <br><br> while (pimportdesc->name)<br><br> {<br><br> pstr szcurrmod = makeptr(pstr, pdosheader, pimportdesc->name);<br><br> if (stricmp(szcurrmod, szimportmodule) == 0)<br><br> break; // 找到 !中断循环 <br><br> // 下一个元素 <br><br> pimportdesc++;<br><br> }<br><br><br> // 如果没有找到 ,说明我们寻找的模块没有被当前的进程所引入 !<br><br> if (pimportdesc->name == null)<br><br> return null;<br><br><br> // 返回函数所找到的模块描述符 (import descriptor)<br><br> return pimportdesc;<br><br>}<br><br><br>// isnt() 函数的实现 <br><br>bool isnt()<br><br>{<br><br> osversioninfo stosvi;<br><br> memset(&stosvi, null, sizeof(osversioninfo));<br><br> stosvi.dwosversioninfosize = sizeof(osversioninfo);<br><br> bool bret = getversionex(&stosvi);<br><br> _assert(true == bret);<br><br> if (false == bret) return false;<br><br> return (ver_platform_win32_nt == stosvi.dwplatformid);<br><br>}<br><br>/////////////////////////////////////////////// end //////////////////////////////////////////////////////////////////////<br><br><br> 不知道在这篇文章问世之前 ,有多少朋友尝试过去实现“鼠标屏幕取词”这项充满了挑战的技术 ,也只有尝试过的朋友才能体会到其间的不易 ,尤其在探索 api 函数的截获时 ,手头的几篇资料没有一篇是涉及到关键代码的 ,重要的地方都是一笔代过 ,msdn 更是显得苍白而无力 ,也不知道除了 image_import_descriptor 和 image_thunk_data,微软还隐藏了多少秘密 ,好在硬着头皮还是把它给攻克了 ,希望这篇文章对大家能有所帮助。
