[原创]Hook GetWindow-逆向工程-看雪安全社区｜专业技术交流与安全研究论坛

# 前言
属于很古旧的方式，放在很多年以前确实还是比较好用的，目前的话属于没什么用，当然对抗纯R3的Api遍历依旧有效果。
# 通过IDA查看GetWindow伪代码并使用CE查看修改数值
演示系统版本：WIN11 25H2（因为应用层的结构非常稳定，不会像内核tagWND一样经常改变，所以你使用你自己的操作系统按照这里的偏移依旧可以轻松复现）
 ![](upload/attach/202608/907221_FD9JTMYJN8T8NVX.webp)
这里的qword_1800D02C8就是我们的gSharedInfo地址+8解引用的值。这里的dword_1800D02D0就是我们的gSharedInfo地址+0x10解引用的值,所以我们在内核中只需要解析user32.dll的pdb，拿到gSharedInfo的地址我们就可以获取到这两个数值。
接下来我们在CE中打开winlogon.exe，因为winlogon.exe是系统进程能确保所有的操作系统都有这个进程，另外打开一个有窗口的演示进程，我们使用spy获取到这个窗口的窗口句柄。
 ![](upload/attach/202608/907221_QHQBAVMNPNSPAJH.webp)
这里我们依旧计算出了v11的值，因为不同进程这两个全局变量对应的值是不一样的，具体来说这里计算出的值也就是如果在winlogon.exe中调用GetWindow，且参数1是0x3003E时，v11经计算出来的值。
在正常流程下，GetWindow函数拿到v11后，通过 调用
```
v5 = (*v11 + Win32ClientInfo[5]);// 拿到应用层的tagWND结构
```
那么我们要让系统所有进程调用GetWindow函数时，在某些情况下进入内核，那么就需要修改
```
if ( v13 && *(v11 + 16) == *v13 ) 
```
让这个if语句不再返回真即可，我们到CE中查看v11+0x10这个地址的值
 ![](upload/attach/202608/907221_X7YDCSWYAGHUNGJ.webp)
因为我们要让所有进程都生效，正是因为他是共享内存，所以我们便可以使用物理写来修改这个地址，那么任何进程调用GetWindow函数，参数1只要是我们修改v11+0x10地址的值后的hwnd，那么他就一定会走

```
v5 = NtUserMapDesktopObject(hWnd);// 获取应用层tagWND
```
那么现在我们在CE中具体操作一下，我们右键查看（v11+0x10）的
内存区域，获取到这个地址对应的物理地址。
 ![](upload/attach/202608/907221_FZZDMW7M95Z73FR.webp)
然后我们在Windbg中查看并修改第一字节
 ![](upload/attach/202608/907221_GG3P6TRMNKJKSS8.webp)
修改后我们就可以，用CE打开spy对NtUserMapDesktopObject的调用点下断，CE从winlogon进程切换到spy的原因是spy调用了GetWindow函数方便查看效果。
 ![](upload/attach/202608/907221_G9W8T8G3UCKMBW9.webp)
可以看到调用GetWindow时，如果hwnd是我们修改过v11+0x10的值的hwnd，那么获取应用层tagWND时，就要调用NtUserMapDesktopObject函数不再通过共享内存获取。
# Hook NtUserMapDesktopObject时应注意的问题
## 第一就是版本问题：
大于等于WIN11就hook NtUserMapDesktopObject，WIN10就hook NtUserCallOneParam。
## 第二就是解决如果传入的hwnd是我们自己设定的保护窗体链表内的hwnd：
全部return 0时会出现窗口卡死的问题。我们只需要在我们的hook函数内调用PsGetCurrentThreadProcessId函数，打印一下进程名肯定更好，然后开始拖动窗体，点击窗体的按钮，看看有哪些进程被打印了，测试发现基本就是进程自身还有dwm进程，当这两个进程调用NtUserMapDesktopObject如果我们返回空tagWND，窗体将无法正常使用。
## 第三就是因为因为user32.dll中其实非常多的函数都进行了tagWND的分支判断：
当要获取应用层tagWND时都会进行前文提到的这个if判断，我们修改v11+0x10地址的值后会导致其他函数也进入了NtUserMapDesktopObject，比如
 ![](upload/attach/202608/907221_WXPPA8RKG9ZJQRJ.webp)
user32!DispatchMessageWorker->user32!ValidateHwnd内部就进入了我们的NtUserMapDesktopObject。再比如调用GetForegroundWindow、EnumWindows、IsWindowVisible等都进入了这个分支，但是像GetForegroundWindow我们不希望他返回空tagWND，这时候我们就需要像windbg的kv指令一样，KeGetCurrentThread()->TrapFrame->Rsp 就是用户栈指针，不理解的话直接让AI复现即可。
## 第四就是并非直接返回空tagWND：
我们的目标是让GetWindow函数遍历不到我们的窗体，但是hook NtUserMapDesktopObject后直接返回空tagWND显然是不对的，因为我们遍历时调用GetNextWindow这个宏，当我们的Previous Window的handle作为参数1调用GetNextWindow时是可以返回我们处理了v11+0x10位置的这个hwnd的，当这个hwnd作为参数调用GetNextWindow时才会无效，并且出现截断（也就是这个hwnd之后用GetNextWindow，或者获取child window的窗体都因为这里返回空tagWND导致遍历结果列表中不再出现这些窗体），所以正确的方法是先获取到我们要保护的窗体的Previous Window的handle以及Next Window的Handle，并且判断该调用来源于GetWindow函数，然后判断uCmd参数，直接用Previous Window的handle以及Next Window的Handle先调用NtUserMapDesktopObject，获取到这两个窗口的应用层tagWND，然后根据参数替换为对应的tagWND进行返回即可。
## 第五就是额外注意的点：
因为应用层的tagWND通过共享内存映射到每个进程的地址空间内，调用相关使用到应用层tagWND的函数后操作系统才会向对应进程的共享内存挂页。所以你要注意挂页的问题。
# 该如何检测
最省事省力的方法肯定是校验
```
*(v11 + 16) == *v13
```
因为修改了共享内存中地址的值，并且通过
```
v5 = (*v11 + Win32ClientInfo[5]);//应用层tagWND
```
手动解析可以获取到tagWND的值，然后通过pdb调用GetWindowWorker对比直接调用GetWindow的结果即可。
当然如果防守方直接内核遍历窗口也可以完美检测这种隐藏，内核遍历与应用层遍历进行结果对比即可。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最新回复 (29) 1 2 ▶
mb_kzsyrtkw 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	mb_kzsyrtkw 2 楼看看 2026-8-16 01:30 0
HmbGK 雪币： 248 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 31 粉丝 0 关注私信	HmbGK 3 楼看看 2026-8-16 03:30 0
mb_qimctavn 雪币： 5254 活跃值： (6670) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 392 粉丝 1 关注私信	mb_qimctavn 4 楼 6 2026-8-16 10:49 0
wx_Huber Barrientos 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 212 粉丝 1 关注私信	wx_Huber Barrientos 5 楼 666 2026-8-16 13:24 0
Old language 雪币： 225 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	Old language 6 楼 kk 2026-8-16 17:24 0
xingbing 雪币： 158 活跃值： (5711) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1381 粉丝 2 关注私信	xingbing 7 楼感谢分享 2026-8-16 20:09 0
zz802352 雪币： 212 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	zz802352 8 楼个讨论对我很有帮助，谢谢！ 2026-8-17 02:29 0
错过雪币： 86 活跃值： (1537) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 69 粉丝 0 关注私信	错过 9 楼 666 2026-8-17 09:25 0
YoungBai 雪币： 1308 活跃值： (1660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 145 粉丝 2 关注私信	YoungBai 10 楼 666 2026-8-17 09:46 0
mb_uowpckvf 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	mb_uowpckvf 11 楼 666 6小时前 2026-8-17 16:28 0
hungnguyen 雪币： 188 活跃值： (2156) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 114 粉丝 0 关注私信	hungnguyen 12 楼感谢分享 2026-8-17 16:37 0
啊你好哇123 雪币： 739 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 366 粉丝 0 关注私信	啊你好哇123 13 楼学习学习 2026-8-17 20:19 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 118 粉丝 0 关注私信	mb_urzqsoer 14 楼呦西 2026-8-18 02:04 0
wx_啊啊啊啊雪币： 217 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 44 粉丝 0 关注私信	wx_啊啊啊啊 15 楼感谢分享 2026-8-18 16:55 0
angelbox 雪币： 5580 活跃值： (4602) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 43 粉丝 0 关注私信	angelbox 16 楼 666 2026-8-18 23:08 0
elizh 雪币： 258 活跃值： (535) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 33 粉丝 0 关注私信	elizh 17 楼 666 2026-8-19 01:07 0
tutuj 雪币： 1908 活跃值： (7483) 能力值： ( LV7，RANK：118 ) 在线值：发帖 17 回帖 102 粉丝 67 关注私信	tutuj 18 楼 11 2026-8-19 11:03 0
白马出淤泥雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	白马出淤泥 19 楼 2026-8-19 13:19 0
MengyouGod 雪币： 330 活跃值： (678) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 32 粉丝 1 关注私信	MengyouGod 20 楼学习 2026-8-19 17:07 0
wx_oranges 雪币： 0 活跃值： (585) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 33 粉丝 0 关注私信	wx_oranges 21 楼学习学习 2026-8-20 06:03 0
wx_xin_993050 雪币： 0 活跃值： (140) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	wx_xin_993050 22 楼学习 2026-8-20 11:08 0
mb_rqlksylg 雪币： 96 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 74 粉丝 0 关注私信	mb_rqlksylg 23 楼 good 2026-8-22 02:37 0
zxdpxl 雪币： 9 活跃值： (1450) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 49 粉丝 0 关注私信	zxdpxl 24 楼 good 2026-8-24 15:20 0
wonderkun 雪币： 120 活跃值： (1311) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 7 粉丝 0 关注私信	wonderkun 25 楼牛 2026-8-25 23:32 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复