Windows热键注册原理

要像系统注册一个全局热键,需要用到RegisterHotKey,函数用法如下(MSDN):

BOOLRegisterHotKey(

HWNDhWnd,

intid,

UINTfsModifiers,

UINTvk

);

函数功能：该函数定义一个系统范围的热键。

　　函数原型：BOOLRegisterHotKey（HWNDhWnd，intid，UINTfsModifiers，UINTvk）；

　　参数：

　　hWnd：接收热键产生WM_HOTKEY消息的窗口句柄。若该参数NULL，传递给调用线程的WM_HOTKEY消息必须在消息循环中中进行处理。

　　id：定义热键的标识符。调用线程中的其他热键不能使用同样的标识符。应用功能程序必须定义一个0X0000-0xBFFF范围的值。一个共享的动态链接库（DLL）必须

定义一个0xC000-0xFFFF范围的值伯GlobalAddAtom函数返回该范围）。为了避免与其他动态链接库定义的热键冲突，一个DLL必须使用GlobalAddAtom函数获得热键的标

识符。

　　fsModifoers：定义为了产生WM_HOTKEY消息而必须与由nVirtKey参数定义的键一起按下的键。该参数可以是如下值的组合：

　　MOD_ALT：按下的可以是任一Alt键。MOD_CONTROL：按下的可以是任一Ctrl键。

　　MOD_SHIFT：按下的可以是任一Shift键。

　　MOD_WIN：按下的可以是任一Windows按键。这些键可以用MicrosoftWindows日志记录下来。

　　MOD_NOREPEAT：Windows7或者后续版本:更改热键行为，以便键盘自动重复不会产生多个热键通知。

　　vk：定义热键的虚拟键码。

　　返回值：若函数调用成功，返回一个非O值。若函数调用失败，则返回值为0。若要获得更多的错误信息，可以调用GetLastError函数。

　　备注：当某键被接下时，系统在所有的热键中寻找匹配者。一旦找到一个匹配的热键，系统将把WM_HOTKEY消息传递给登记了该热键的线程的消息队列。该消息被传

送到队列头部，因此它将在下一轮消息循环中被移去。该函数不能将热键同其他线程创建的窗口关联起来。

　　若为一热键定义的击键己被其他热键所定义，则RegisterHotKey函数调用失败。

　　若hWnd参数标识的窗口已用与id参数定义的相同的标识符登记了一个热键，则参数fsModifiers和vk的新值将替代这些参数先前定义的值。

　　WindowsCE：WindowsCE2.0以上版本对于参数fsModifiers支持一个附加的标志位。叫做MOD_KEYUP。

　　若设置MOD_KEYUP位，则当发生键被按下或被弹起的事件时，窗口将发送WM_HOTKEY消息。

　　RegisterHotKey可以被用来在线程之间登记热键。

　　速查：WindowsNT：3.1及以上版本；Windows：95及以上版本；WindowsCE：不支持；头文件：winuser.h；库文件：Hotkey.lib。

F12键是调试器所使用的保留，所以不应将其注册为热键

代码:

在IDA中反汇编RegisterHotKey

系统把服务号保存在eax寄存器,直接call[edx]

OD查看得到7FFE0300

Windbg查看得到

windows中0x7FFE0000和0x0FFDF0000被映射到同一个物理地址,供4KB,但在用户模式下该地址是不可写的,内核模式下的可写,4K空间操作系统占用一部分,

余下的大约有3K

USER:0x7FFE0000

KERNEL:0x0FFDF0000

在Windbg可用dtnt!_KUSER_SHARED_DATA命令查看该共享区域

11EA=1000111101010=13~14位选择服务描述表,选择KeServiceDescriptorTableShadow,系统共有4个服务描述表,第一个在ntoskrnl.exe中

并导出KeServiceDescriptorTable指针

可见该函数没做任何处理直接进入内核(win32k.sys)中,在Windbg反汇编:

//NtUserRegisterHotKey伪代码:

//系统热键结构:

_RegisterHotKey伪代码如下:

//用Windbg查看下gphkFirst

e2ce10d8就是最近一次软件向系统注册的全局热键,继续

e2265008是ETHREAD,查看发现是QQ的一个线程

bbe35a28是窗口句柄

00000003是功能键11,说明有Ctrl+Alt键

00000054是VK_?,0x54对应ASCI码的大写T,Ctrl+ATL+T(QQ上:发送腾讯微博的)

0000c024是热键的ID

e2291a68是下一个热键结构

//遍历系统热键