揭秘腾讯游戏登陆
本帖最后由 皇阿玛丶 于 2017-11-16 15:52 编辑https://bbs.pediy.com/thread-201756.htm，原帖地址，装作看得懂的样子转载过来的。
1、利用TASLogin.exe的勾子函数 输入密码的原理解释
通过xt，我们发现此进程利用SetWindowsHookEx安装了一个WH_KEYBOARD_LL的低层键盘勾子，用来捕获键盘输入，回调函数声明如下
1
2
3
4
5
LRESULT CALLBACK LowLevelKeyboardProc(
_In_int nCode,
_In_WPARAM wParam,
_In_LPARAM lParam
);
参数简单说明:
第一个用处不大，
第二个wParam，代表是按下还是弹起，
第三个lParam，是一个指向 KBDLLHOOKSTRUCT 的指针. 也是利用他来做为输入的
1
2
3
4
5
6
7
typedef struct tagKBDLLHOOKSTRUCT {
DWORD vkCode;//当前按下的键
DWORD scanCode;
DWORD flags;
DWORD time;
ULONG_PTR dwExtraInfo;
} KBDLLHOOKSTRUCT, *PKBDLLHOOKSTRUCT, *LPKBDLLHOOKSTRUCT;
2、利用方法
1
2
3
一、构造参数，
二、设置输入焦点窗口
三、调用回调函数
3、构造参数
1
2
3
4
int nCode = HC_ACTION;
WPARAM wParamDown =WM_KEYDOWN;
WPARAM wParamUp =WM_KEYUP;
KBDLLHOOKSTRUCT pKdb={0};
4、设置输入焦点窗口
要设置焦点窗口，肯定必须要先有窗口句柄，我采用的方法是在这个进程刚创建的时候就注入一个DLL，然后利用SetWindowsHookEx安装一个WH_GETMESSAGE勾子，在密码框窗口已经有消息的时候，说明这个窗口已经创建成功，那么我们就安装一个定时器，为什么要安装定时器呢，因为这个进程很恶心的说，创建的线程，被此进程的其它函数强制结束了，
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
LRESULT CALLBACK GetMsgProc(__inint code,__inWPARAM wParam,__inLPARAM lParam
)
{
if( code == HC_ACTION )
{
MSG * pMsg =(MSG*)lParam;
LONG dwStyle = GetWindowLong(pMsg->hwnd,GWL_STYLE);
if( !g_hPwd &&
dwStyle & ES_PASSWORD &&
!( dwStyle&ES_MULTILINE) )
{
TCHAR tcText;
_stprintf_s(tcText,_T("密码框句柄:%x"),pMsg->hwnd);
OutputDebugString(tcText);
g_hPwd=pMsg->hwnd;
if( !dwTimerId )
dwTimerId = SetTimer(g_hPwd,0x1000,0x10,InputPwdTimer);
}
}
return CallNextHookEx(0,code,wParam,lParam);
}
好了，密码框句柄也有了，设置焦点就太简单了吧，
5、调用勾子回调函数，
通过XT，我们发现勾子回调函数位于 +0x16A645偏移处，
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
DWORD dwModuleHanlde = (DWORD)GetModuleHandle(_T("fszwd.dat"));
if(!dwModuleHanlde)
{
OutputDebugString(_T("模块还没有加载"));
__leave;
}
if( ::GetFocus() != g_hPwd)
{
::SetWindowPos(GetParent(g_hPwd),HWND_TOPMOST,0,0,0,0,SWP_NOMOVE|SWP_NOSIZE);
::SetFocus(g_hPwd);
}
bInputChar =true;
OutputDebugString(_T("已经执行"));
g_dwCallbackAddr = dwModuleHanlde +0x16A645;
用g_dwCallbackAddr 来保存 “勾子回调函数” 地址
1
2
3
4
5
6
7
8
typedef LRESULT( CALLBACK *LowLevelKeyboardProc)(_In_int nCode,
_In_WPARAM wParam,_In_LPARAM lParam);
pKdb.vkCode = 'A';//设置虚键码
LowLevelKeyboardProc Proc=(LowLevelKeyboardProc)g_dwCallbackAddr; //
//输入字符
Proc(nCode,wParamDown,(LPARAM)&pKdb);
Proc(nCode,wParamUp,(LPARAM)&pKdb);
那么这样就输入了，'A'这个字母，其它的同理了，，
页:
[1]