基于HOOK进程监控的设计与实现_陶文金.pdfVIP

COMPUTING SECURITY TECHNIQUES 计算机安全技术 基于HOOK 进程监控的设计与实现 陶文金，敬茂华 （东北大学秦皇岛分校计算机工程系，秦皇岛066004） 摘 要： 钩子是Windows 操作系统提供的一种在保护模式下截获系统信息的机制。利用消息钩子能够截获系统或 应用程序发出的消息。基于这一特性可以截取进程创建消息从而达到监控进程的目的。本文在分析钩子的工作原理 和使用钩子的关键技术点基础上，利用Windows 提供的消息钩子函数设计并实现了一个进程监控程序，分析了程序 的实现过程，给出了程序的监控效果及不足之处。 关键词：消息钩子；进程监控；钩子函数 The Design and Implementation of HOOK-Based Process Control Program TAO Wenjin ，JING Maohua (Northeastern University at Qinhuangdao , Computer Engineering department, Qinhuangdao 066004) Abstract ：Hook is a Windows mechanism used to capture the system information under the Protected Mode. Message Hook capture the message send by the system or a application program, using this feature can capture the creating process infor－ mation so as to achieve the purpose of monitoring the process. The article firstly analyze the Hook ’s working principle and the key technologies while using Hook ;and then use the Message Hook function provided by Windows to design a program monitoring process, also analyze the implementation; finally give out the monitoring result and inadequacies of the program. Key words ：Message Hook; process control; Hook function 1 引言 使键盘和鼠标失效的目的。 Windows 操作系统提供了钩子函数（HOOK），来实现类 另外，根据钩子函数的作用范围，钩子又可以分为两种： 似于中断的机制。利用HOOK 机制，可以利用应用程序来截 全局钩子和线程钩子。 全局钩子在整个系统内起作用，钩子 [1] 函数的代码写在一个动态链接库（DLL）中，在特定事件发生 获和处理系统的消息从而实现对系统中消息流的监控 。实 际上，利用HOOK 技术，可以在消息到达目标程序之前就将 时被加载到进程空间，从而实现对整个系统的监控；而线程 其截获，从而实现对进程的监控，甚至可以对某些消息进行 钩子监控特定线程的消息，其实现监控的代码可以写在动态 修改而达到某些特殊的目的。 链接库中，也可以直接写在程序里。 2 钩子（HOOK）