Исследование подсистемы GUI: горячие клавиши в Windows — Архив WASM.RU

В Операционной Системе Windows любая программа может зарегистрировать себе комбинацию горячих клавиш. Для этого существуют следующие функции:

Код (Text):

1.  
2. BOOL RegisterHotKey(      
3.     HWND hWnd,
4.     int id,
5.     UINT fsModifiers,
6.     UINT vk
7. );

И соответственно

Код (Text):

1.  
2. BOOL UnregisterHotKey(      
3.     HWND hWnd,
4.     int id
5. );

для удаления горячей клавиши.

Например, Winlogon.exe при входе в систему регистрирует себе комбинацию клавиш CTRL+ALT+DEL .

В этой статье мы рассмотрим механизм регистрации горячих клавиш. Как уже упоминалось выше для того чтобы зарегистрировать себе горячие клавиши, программе достаточно вызвать функцию RegisterHotKey() из user32.dll.

Дизассемблирование этой функции показало, что она вызывает системный сервис NtUserRegisterHotKey()

Код (Text):

1.  
2. .text:7E378419 RegisterHotKey  proc near
3. .text:7E378419
4. .text:7E378419 hWnd            = dword ptr  4
5. .text:7E378419 id              = dword ptr  8
6. .text:7E378419 fsModifiers     = dword ptr  0Ch
7. .text:7E378419 vk              = dword ptr  10h
8. .text:7E378419
9. .text:7E378419                 mov     eax, 11EAh
10. .text:7E37841E                 mov     edx, 7FFE0300h
11. .text:7E378423                 call    dword ptr [edx]
12. .text:7E378425                 retn    10h
13. .text:7E378425 RegisterHotKey  endp

В свою очередь, сервис NtUserRegisterHotKey из win32k.sys вызывает внутреннюю функцию __RegisterHotKey, которая выполняет ряд очень важных проверок. Среди которых есть проверка на повторную регистрацию комбинации клавиш, за это отвечает также не экспортируемая функция __FindHotKey.

Далее заполняется структура tagHOTKEY. Вот ее формат

Код (Text):

1.  
2. typedef struct tagHOTKEY {
3.     PTHREADINFO pti;
4.     struct tagWND *spwnd;
5.     UINT    fsModifiers;
6.     UINT    vk;
7.     int     id;
8.     struct tagHOTKEY *phkNext;
9. } HOTKEY, *PHOTKEY;

После всех операций по заполнению структуры она помешается в список.

Код (Text):

1.  
2. .text:BF8B78BC                 mov     eax, _gphkFirst
3. .text:BF8B78C1                 mov     [esi+14h], eax
4. .text:BF8B78C4                 mov     _gphkFirst, esi

_gphkFirst - это не экспортируемая переменная в которой хранится адрес первой структуры HOTKEY(все они связанны между собой полем phkNext ).

Таким образом, если мы получим эту переменную, мы сможем спокойно манипулировать всеми горячими клавишами в системе.

Однако, искать _gphkFirst в NtUserRegisterHotKey, довольно неудобный способ. Лучше реализовать через поиск внутренней функции __UnregisterHotKey которую вызывает сервис NtUserUnregisterHotKey. В __UnregisterHotKey, в свою очередь, найти вызов функции _FindHotKey в которой почти в самом начале в регистр esi помещается адрес _gphkFirst.

Код (Text):

1.  
2. 76A _FindHotKey@28  proc near               ; CODE XREF: _UnregisterHotKey(x,x)+1Bp
3. .text:BF8B776A                                         ; _RegisterHotKey(x,x,x,x)+81p
4. .text:BF8B776A
5. .text:BF8B776A arg_0           = dword ptr  8
6. .text:BF8B776A arg_4           = dword ptr  0Ch
7. .text:BF8B776A arg_8           = dword ptr  10h
8. .text:BF8B776A arg_C           = word ptr  14h
9. .text:BF8B776A arg_10          = dword ptr  18h
10. .text:BF8B776A arg_14          = dword ptr  1Ch
11. .text:BF8B776A arg_18          = dword ptr  20h
12. .text:BF8B776A
13. .text:BF8B776A ; FUNCTION CHUNK AT .text:BF8B7716 SIZE 0000004F BYTES
14. .text:BF8B776A
15. .text:BF8B776A                 mov     edi, edi
16. .text:BF8B776C                 push    ebp
17. .text:BF8B776D                 mov     ebp, esp
18. .text:BF8B776F                 mov     ecx, [ebp+arg_18]
19. .text:BF8B7772                 and     dword ptr [ecx], 0
20. .text:BF8B7775                 and     [ebp+arg_18], 0
21. .text:BF8B7779                 push    ebx
22. .text:BF8B777A                 push    esi
23. .text:BF8B777B                 mov     esi, _gphkFirst

Алгоритм поиска выглядит следующим образом:

• 1) Ищем номер сервиса NtUserUnregisterHotKey. Определить его можно через функцию UnregisterHotKey из user32.dll:
  Код (Text):

  1.  
  2. ; UnregisterHotKey
  3. ; BOOL __stdcall NtUserUnregisterHotKey(HWND hWnd, int id)
  4. public _NtUserUnregisterHotKey@8
  5. _NtUserUnregisterHotKey@8 proc near
  6.  
  7. hWnd= dword ptr  4
  8. id= dword ptr  8
  9.  
  10. mov     eax, 1240h
  11. mov     edx, 7FFE0300h
  12. call    dword ptr [edx]
  13. retn    8
  14. _NtUserUnregisterHotKey@8 end
• 3) Передаем номер сервиса драйверу
• 4) В драйвере получаем адрес NtUserUnregisterHotKey.
• 5) Дизассемблируем NtUserUnregisterHotKey. Ищем третий call. Третий call - это вызов _UnregisterHotKey.
• 6) Дизассемблируем_ UnregisterHotKey и ищем первый call. первый call это вызов __FindHotKey.
• 7) Дизассемблируем FindHotKey. Ищем уже искомую инструкцию mov esi, адрес_переменной.

В качестве дизассемблера длин используется VirXasm32.

После того, как адрес получен, настало время разобраться со структурой HOTKEY до конца. Нас будет интересовать ее поле PTHREADINFO pti. Опытным путем было установлено, что первый член THREADINFО является структура _W32THREAD.

Код (Text):

1.  
2. struct _W32THREAD {
3.   /*+0x0*/ struct _ETHREAD* pEThread;
4.   /*+0x4*/  unsigned long RefCount;
5.   /*+0x8*/  struct _TL* ptlW32;
6.   /*+0xС*/ void* pgdiDcattr;
7.   /*0x10*/  void* pgdiBrushAttr;
8.   /*+0x14*/  void* pUMPDObjs;
9.   /*+0x18*/  void* pUMPDHeap;
10.   /*+0x1c>*/  unsigned long dwEngAcquireCount;
11.   /*+0x20>*/  void* pSemTable;
12.   /*+0x24>*/  void* pUMPDObj;
13. };

Ну и собственно функция которая выводит на отладочную печать все горячие клавиши зарегистрированные в системе .

Код (Text):

1.  
2. //
3. // DumpHotKeys
4. //
5. VOID DumpHotKeys( IN PVOID gphkFirst )
6. {
7.     ULONG dwAddr;
8.     KAPC_STATE ApcState;
9.     PETHREAD pThread;
10.     PEPROCESS pProc;
11.     PHOTKEY phk;
12.     //
13.     // we must do it in process context where win32k.sys is mapped
14.     //
15.     KeStackAttachProcess( pExpEprocess , &ApcState );
16.     dwAddr = *(PULONG)gphkFirst;
17.     KeUnstackDetachProcess(&ApcState);
18.     phk = (PHOTKEY)dwAddr;
19.     //
20.     // parse all registred hot keys
21.     //
22.  
23.     while( phk != NULL )
24.     {
25.         pThread = *(PULONG)phk->pti;
26.         pProc   = *(PULONG)( (ULONG)pThread + 0x220 );
27.         KdPrint(("Process Name : %s\n" , (ULONG)pProc + 0x174 ));
28.         KdPrint(("id : %d\n" , phk->id ));
29.         KdPrint(("Combination : %s + %X\n" , GetButton( phk->fsModifiers ) , phk->vk ));
30.         KdPrint(("------------------------------------------\n"));
31.         phk = phk->phkNext;
32.     }
33. }

Результат работы программы можно увидеть на скрине:

Хочется отметить, что в Висте механизм регистрации горячих клавиш немного изменен.

А так же хотелось бы выразить благодарность 0x0c0de за оказание большой помощи в написании данного материала.

В приложении к статье вы найдете исходные коды драйвера и приложения. © Sav1or