我想如果你找到那个dll这个不难。

全局钩子用OD很难拦截，因为相当于起了另外一个线程。

可以用SICE拦截到具体hook的函数，然后F12出来看一下是那个DLL干的。如果这个DLL跟系统关系不大，那就转移或者改名，运行一下软件或者重新启动系统，等着报错就知道什么东西调用了这个DLL。或者用SICE在出错提示的地方下断点，观察一下哪个进程调用了这个DLL。

是我没有说明白

补充一点，需要用编程来实现

最初由 monkeycz 发布
是我没有说明白

补充一点，需要用编程来实现

汗……我也以为是手工，手工都不会

想揪出木马来是不是

最初由 RoBa 发布


汗……我也以为是手工，手工都不会

想揪出木马来是不是

手工很简单啦，IceSword通吃

编程的话，我也很关注。

编程大概又要跟防范全局钩子挂勾了
期待中

那问题是否应该转换成：如何做到API hook？

编程好像没那么简单。没搞清楚到底是要弄清楚钩子的底层机制还是仅仅找出谁调用带钩子函数的那个dll

最初由 ForEver 发布
编程好像没那么简单。没搞清楚到底是要弄清楚钩子的底层机制还是仅仅找出谁调用带钩子函数的那个dll

对钩子相关的都期待

最初由 prince 发布
那问题是否应该转换成：如何做到API hook？

en...用API hook hook上设置hook的API ?

绕口令真好玩

最初由 RoBa 发布


en...用API hook hook上设置hook的API ?

绕口令真好玩

应该这么说：用 API hook hook hook API  

最初由 RoBa 发布


en...用API hook hook上设置hook的API ?

绕口令真好玩

MS的Hook机制中有一个Debug类型的Hook，用这个可以得到和当前Hook相关的东西。然后好像要查询内核才能得到相关的Hook信息。

从网络上搜来一篇。权当一个开始吧。静观中。
防止全局钩子的侵入
Author: pjf(jfpan20000@sina.com)
    Windows消息钩子一般都很熟悉了。它的用处很多，耳熟能详的就有――利用键盘钩子获取目标进程的键盘输入，从而获得各类密码以达到不可告人的目的。朋友想让他的软件不被别人的全局钩子监视，有没有办法实现呢？答案是肯定的，不过缺陷也是有的。
    首先简单看看全局钩子如何注入别的进程。
    消息钩子是由Win32子系统提供，其核心部分通过NtUserSetWindowsHookEx为用户提供了设置消息钩子的系统服务，用户通过它注册全局钩子。当系统获取某些事件，比如用户按键，键盘driver将扫描码等传入win32k的KeyEvent处理函数，处理函数判断有无相应hook，有则callhook。此时，系统取得Hook对象信息，若目标进程没有装载对应的Dll，则装载之（利用KeUserModeCallback“调用”用户例程，它与Apc调用不同，它是仿制中断返回环境，其调用是“立即”性质的）。
    进入用户态的KiUserCallbackDispatcher后，KiUserCallbackDispatcher根据传递的数据获取所需调用的函数、参数等，随后调用。针对上面的例子，为装载hook dll，得到调用的是LoadLibraryExW，随后进入LdrLoadDll，装载完毕后返回，后面的步骤就不叙述了。
    从上面的讨论我们可以得出一个最简单的防侵入方案：在加载hook dll之前hook相应api使得加载失败，不过有一个缺陷：系统并不会因为一次的失败而放弃，每次有消息产生欲call hook时系统都会试图在你的进程加载dll，这对于性能有些微影响，不过应该感觉不到。剩下一个问题就是不是所有的LoadLibraryExW都应拦截，这个容易解决，比如判断返回地址。下面给出一个例子片断，可以添加一些判断使得某些允许加载的hook dll被加载。
    这里hook api使用了微软的detours库，可自行修改。

以下内容为程序代码:

typedef HMODULE (__stdcall *LOADLIB)(
    LPCWSTR lpwLibFileName,
    HANDLE hFile,
    DWORD dwFlags);

extern "C" {
        DETOUR_TRAMPOLINE(HMODULE __stdcall Real_LoadLibraryExW(
                                                         LPCWSTR lpwLibFileName,
                                                         HANDLE hFile,
                                                         DWORD dwFlags),
                                                        LoadLibraryExW);
}

ULONG user32 = 0;

HMODULE __stdcall Mine_LoadLibraryExW(
                          LPCWSTR lpwLibFileName,
                          HANDLE hFile,
                          DWORD dwFlags)
{
        ULONG addr;

        _asm mov eax, [ebp+4]
        _asm mov addr, eax

        if ((user32 & 0xFFFF0000) == (addr & 0xFFFF0000))
        {
                return 0;
        }

        HMODULE res = (LOADLIB(Real_LoadLibraryExW)) (
                                                lpwLibFileName,
                                                hFile,
                                                dwFlags);

        return res;
}

BOOL ProcessAttach()
{
        DetourFunctionWithTrampoline((PBYTE)Real_LoadLibraryExW,
                                 (PBYTE)Mine_LoadLibraryExW);
        return TRUE;
}

BOOL ProcessDetach()
{
        DetourRemove((PBYTE)Real_LoadLibraryExW,
                                  (PBYTE)Mine_LoadLibraryExW);
        return TRUE;
}

CAnti_HookApp::CAnti_HookApp()  //在使用用户界面服务前调用ProcessAttach
{
        user32 = (ULONG)GetModuleHandle("User32.dll"）;
        ProcessAttach();
}

monkeycz版主应该是问
判断一个全局钩子的安装者吧？
我也随便问一下，如何安装一个钩子使其一直保持在钩子链的最底层或最顶层
钩子链的详细资料哪些书上有详细讲解？

地址　0x80000000+　上面有个Hook　Chain　读这个东东就可以

最初由 huoshan 发布
monkeycz版主应该是问
判断一个全局钩子的安装者吧？

我说的是调用者，也就是判断哪个模块调用了钩子。

方法1:如果能枚举出钩子链，不过好像没有现成的api.
方法2:反汇编分析那个dll,改写那个dll，使用GetModuleFileName得到文件名。

记得pjf老兄以前写过《防止全局钩子的侵入》一文，原文如下：
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
防止全局钩子的侵入
                        Author: pjf(jfpan20000@sina.com)

    Windows消息钩子一般都很熟悉了。它的用处很多，耳熟能详的就有――利用键盘钩子获取目标进程的键盘输入，从而获得各类密码以达到不可告人的目的。朋友想让他的软件不被别人的全局钩子监视，有没有办法实现呢？答案是肯定的，不过缺陷也是有的。
    首先简单看看全局钩子如何注入别的进程。
    消息钩子是由Win32子系统提供，其核心部分通过NtUserSetWindowsHookEx为用户提供了设置消息钩子的系统服务，用户通过它注册全局钩子。当系统获取某些事件，比如用户按键，键盘driver将扫描码等传入win32k的KeyEvent处理函数，处理函数判断有无相应hook，有则callhook。此时，系统取得Hook对象信息，若目标进程没有装载对应的Dll，则装载之（利用KeUserModeCallback“调用”用户例程，它与Apc调用不同，它是仿制中断返回环境，其调用是“立即”性质的）。
    进入用户态的KiUserCallbackDispatcher后，KiUserCallbackDispatcher根据传递的数据获取所需调用的函数、参数等，随后调用。针对上面的例子，为装载hook dll，得到调用的是LoadLibraryExW，随后进入LdrLoadDll，装载完毕后返回，后面的步骤就不叙述了。
    从上面的讨论我们可以得出一个最简单的防侵入方案：在加载hook dll之前hook相应api使得加载失败，不过有一个缺陷：系统并不会因为一次的失败而放弃，每次有消息产生欲call hook时系统都会试图在你的进程加载dll，这对于性能有些微影响，不过应该感觉不到。剩下一个问题就是不是所有的LoadLibraryExW都应拦截，这个容易解决，比如判断返回地址。下面给出一个例子片断，可以添加一些判断使得某些允许加载的hook dll被加载。
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
所以只要HOOK相应的API或者系统调用就可以了。

调试论坛的《枚举全局钩子》已经解决了这个主题讨论
一块三毛钱，他的每一个帖子都是精华
很开心论坛中有这样的高手

Hook API的还没有解决阿

多多学习。。。。。