首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[讨论]KeUserModeCallback相关问题
发表于: 2011-6-16 11:07 7841

[讨论]KeUserModeCallback相关问题

gimbow 活跃值
2011-6-16 11:07
7841
今天看了教主的《KeUserModeCallback用法详解》写的挺好的，于是想研究下KeUserModeCallback的InlineHook专门过滤WM_KEYBORAD，WM_KEYBORAD_LL，WM_DEBUG，WH_JOURNALRECORD和LoadLibrary，这几种情况都是耳熟能详的可以用来进行键盘记录的方法。
    另外一篇文章 http://bbs.pediy.com/showthread.php?t=105107&highlight=WH_KEYBOARD_LL  也进行了比较详细的讲解。这篇文章下面有给出XP_SP2的callback函数对照表：
01       fnCOPYDATA
02       fnCOPYGLOBALDATA
03       fnDWORD
04       fnNCDESTROY
05       fnDWORDOPTINLPMSG
06       fnINOUTDRAG
07       fnGETTEXTLENGTHS
08       fnINCNTOUTSTRING
09       fnPOUTLPINT
10       fnINLPCOMPAREITEMSTRUCT
11       fnINLPCREATESTRUCT
12       fnINLPDELETEITEMSTRUCT
13       fnINLPDRAWITEMSTRUCT
14       fnINLPHLPSTRUCT
15       fnINLPHLPSTRUCT
16       fnINLPMDICREATESTRUCT
17       fnINOUTLPMEASUREITEMSTRUCT
18       fnINLPWINDOWPOS
19       fnINOUTLPPOINT5
20       fnINOUTLPSCROLLINFO
21       fnINOUTLPRECT
22       fnINOUTNCCALCSIZE
23       fnINOUTLPSCROLLINFO
24       fnINPAINTCLIPBRD
25       fnINSIZECLIPBRD
26       fnINDESTROYCLIPBRD
27       fnINSTRINGNULL
28       fnINSTRINGNULL
29       fnINDEVICECHANGE
30       fnINOUTNEXTMENU
31       fnLOGONNOTIFY
32       fnOPTOUTLPDWORDOPTOUTLPDWORD
33       fnOPTOUTLPDWORDOPTOUTLPDWORD
34       fnOUTDWORDINDWORD
35       fnOUTLPRECT
36       fnPOUTLPINT
37       fnINLPHLPSTRUCT
38       fnPOUTLPINT
39       fnSENTDDEMSG
40       fnINOUTSTYLECHANGE
41       fnHkINDWORD
42       fnHkINLPCBTACTIVATESTRUCT
43       fnHkINLPCBTCREATESTRUCT
44       fnHkINLPDEBUGHOOKSTRUCT
45       fnHkINLPMOUSEHOOKSTRUCTEX
46       fnHkINLPKBDLLHOOKSTRUCT
47       fnHkINLPMSLLHOOKSTRUCT
48       fnHkINLPMSG
......
    我有个疑问，xp上这张callback表如何获得？ 如果是在win7平台又该如何获取？

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏
免费 ・0
支持
分享
最新回复 (3)
yeweijun
雪    币： 235
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
kd> dt _peb 7ffda000
ntdll!_PEB
   +0x000 InheritedAddressSpace : 0 ''
   +0x001 ReadImageFileExecOptions : 0 ''
   +0x002 BeingDebugged    : 0 ''
   +0x003 SpareBool        : 0 ''
   +0x004 Mutant           : 0xffffffff
   +0x008 ImageBaseAddress : 0x00400000
   +0x00c Ldr              : 0x00241e90 _PEB_LDR_DATA
   +0x010 ProcessParameters : 0x00020000 _RTL_USER_PROCESS_PARAMETERS
   +0x014 SubSystemData    : (null)
   +0x018 ProcessHeap      : 0x00140000
   +0x01c FastPebLock      : 0x7c99d600 _RTL_CRITICAL_SECTION
   +0x020 FastPebLockRoutine : 0x7c921000
   +0x024 FastPebUnlockRoutine : 0x7c9210e0
   +0x028 EnvironmentUpdateCount : 1
   +0x02c KernelCallbackTable : 0x77d12970

kd> dds 0x77d12970   l20
77d12970  77d27f3c USER32!__fnCOPYDATA
77d12974  77d587b3 USER32!__fnCOPYGLOBALDATA
77d12978  77d28ec8 USER32!__fnDWORD
77d1297c  77d2b149 USER32!__fnNCDESTROY
77d12980  77d5876c USER32!__fnDWORDOPTINLPMSG
77d12984  77d5896d USER32!__fnINOUTDRAG
77d12988  77d3b84d USER32!__fnGETTEXTLENGTHS
77d1298c  77d58c42 USER32!__fnINCNTOUTSTRING
77d12990  77d285c1 USER32!__fnINCNTOUTSTRINGNULL
77d12994  77d58b0f USER32!__fnINLPCOMPAREITEMSTRUCT
77d12998  77d2ce26 USER32!__fnINLPCREATESTRUCT
77d1299c  77d58b4d USER32!__fnINLPDELETEITEMSTRUCT
77d129a0  77d4feec USER32!__fnINLPDRAWITEMSTRUCT
77d129a4  77d58b8b USER32!__fnINLPHELPINFOSTRUCT
77d129a8  77d58b8b USER32!__fnINLPHELPINFOSTRUCT
77d129ac  77d589ad USER32!__fnINLPMDICREATESTRUCT
77d129b0  77d4f65c USER32!__fnINOUTLPMEASUREITEMSTRUCT
77d129b4  77d2be16 USER32!__fnINLPWINDOWPOS
77d129b8  77d2d063 USER32!__fnINOUTLPPOINT5
77d129bc  77d2bd0d USER32!__fnINOUTLPSCROLLINFO
77d129c0  77d3e285 USER32!__fnINOUTLPRECT
77d129c4  77d2bf4c USER32!__fnINOUTNCCALCSIZE
77d129c8  77d2bd0d USER32!__fnINOUTLPSCROLLINFO
77d129cc  77d589ff USER32!__fnINPAINTCLIPBRD
77d129d0  77d58a66 USER32!__fnINSIZECLIPBRD
77d129d4  77d30d41 USER32!__fnINDESTROYCLIPBRD
77d129d8  77d2aca1 USER32!__fnINSTRINGNULL
77d129dc  77d2aca1 USER32!__fnINSTRINGNULL
77d129e0  77d1e68c USER32!__fnINDEVICECHANGE
77d129e4  77d58cd7 USER32!__fnINOUTNEXTMENU
77d129e8  77d593f5 USER32!__fnLOGONNOTIFY
77d129ec  77d58728 USER32!__fnOUTDWORDDWORD
2011-6-16 12:07
0
gimbow
雪    币： 15
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
小菜初学，谢谢指导
2011-6-16 15:09
0
染色体
雪    币： 23
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
学习 呵呵
2011-6-21 01:44
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//