API-функция GetWindowThreadProcessId используется для определения идентификатора потока, создавшего наблюдаемое окно. Проверка неравенства значения, возвращенного этой функцией, нулю используется для того, чтобы в случае закрытия интересующего нас окна до запуска ловушки мы не начали следить за окнами приложения-шпиона.
Работу с проецируемым файлом в ловушке рассмотрим чуть позже. Сейчас же обратимся к функции удаления ловушки, реализация которой приводится в листинге 10.22.
...
Листинг 10.22.
Удаление ловушки
function RemoveHook(): Boolean stdcall;
begin
if GetFileMapping() then
begin
if hook_info^.hook_handle <> 0 then
//Удаляем ловушку
UnhookWindowsHookEx(hook_info^.hook_handle);
//Закрываем проекцию файла
ReleaseFileMapping();
RemoveHook := True;
end
else
RemoveHook := False;
end;
Тут все просто и не требует подробного пояснения. Теперь же рассмотрим так часто используемые функцию и процедуру, работающие с проекцией файла в память. Функция GetFileMapping, приведенная в листинге 10.23, открывает проекцию файла в память и связывает указатель hookinf о с областью памяти, отведенной для проекции файла.
...
Листинг 10.23.
Открытие проекции файла
function GetFileMapping(): Boolean;
begin
//Пытаемся открыть проекцию файла
hFile := OpenFileMapping(FILE_MAP_WRITE, False, PAnsiChar(strFileMapName));
//Получаем адрес разделяемой памяти
hook_info := MapViewOfFile(hFile, FILE_MAP_WRITE, 0, 0, SizeOf(THookInfo));
GetFileMapping := hook_info <> nil;
end;
Процедура ReleaseFileMapping, симметричная по своему назначению функции GetFileMapping, реализована так, как показано в листинге 10.24.
...
Листинг 10.24.
Освобождение проекции файла
procedure ReleaseFileMapping();
begin
UnmapViewOfFile(hook_info);
hook_info := nil;
CloseHandle(hFile);
hFile := 0;
end;
Функция GetFileMapping и процедура ReleaseFileMapping используют дополнительно глобальную переменную hFile (тип THandle), объявленную в модуле HookData.
Наконец пришла очередь функции-ловушки. Ее реализация приведена в листинге 10.25.
...
Листинг 10.25.
Функция-ловушка
function WndProcHook(code: Integer; wparam: WPARAM;
lparam: LPARAM): LRESULT stdcall;
var
hook_data: ^TCWPStruct;
begin
//Получим доступ к проекции файла
if not GetFileMapping() then
begin
//Не удалось получить доступ к проекции файла. Ценой потери
//сообщений не дадим возникнуть ошибкам доступа к памяти
WndProcHook := 0;
Exit;
end;
if code < 0 then
begin
WndProcHook := CallNextHookEx(hook_info^.hook_handle, code,
wParam, lParam);
//Освободим проекцию файла
ReleaseFileMapping();
Exit;
end;
//Можно обрабатывать сообщение
hook_data := Pointer(lParam);
//Обрабатываем только сообщения нужного окна
if hook_data^.hwnd = hook_info^.wnd then
begin
//Заполняем поля структуры в общей области памяти и посылаем
//сообщение окну-шпиону
hook_info^.mess := hook_data^.message;
hook_info^.wParam := hook_data^.wParam;
hook_info^.lParam := hook_data^.lParam;
PostMessage(hook_info^.spy_wnd, WM_SPY_NOTIFY, 0, 0);
end;
//Передаем сообщение для дальнейшей обработки
WndProcHook := CallNextHookEx(hook_info^.hook_handle, code,
wParam, lParam);
//Освободим проекцию файла
ReleaseFileMapping();
end;
Код функции WndProc достаточно прост, поэтому не будем подробно его описывать. Поясним лишь, для чего все-таки GetFileMapping и ReleaseFileMapping вызываются при обработке каждого перехваченного сообщения.
Дело в том, что загрузка DLL в адресное пространство другого процесса отличается от штатной загрузки библиотеки, например, при помощи функции LoadLibrary: не вызывается код инициализации. Следовательно, мы не можем, например, обнулить указатель hookinf о или установить еще какой-либо признак того, была ли открыта проекция файла. Велика вероятность того, что без отсутствия ручной инициализации указатель hookinf о не будет равен нулю. Как тогда определить, связан ли этот указатель с областью памяти, куда спроецирован файл?
Можно было бы, конечно, завести 64-битную или более переменную, которой присваивалось бы «магическое» число при первой инициализации указателя hookinf о. Но в таком случае работоспособность нашей программы носила бы вероятностный характер.
Речь не идет о том, что в приведенном примере ловушка реализована самым оптимальным образом, просто альтернатива cGetFileMapping HReleaseFileMapping при написании программы показалась наиболее простой и легко поддающейся объяснению.
Читать дальше
Конец ознакомительного отрывка
Купить книгу