系统范围的api钩子

Question

在Windows NT上进行系统范围用户模式（NOT KERNEL MODE）api挂钩的最佳方法是什么？

Answer 1

通常情况下，您可以使用SetWindowsHookEx执行此操作。这允许您挂钩当前桌面上的所有应用程序。

但是还有其他选择。 This CodeProject article有很多关于挂钩机制的细节。

Answer 2

什么样的钩子？您可以通过hook apis拦截事件消息。

Answer 3

1. 使用SetWindowsHookEx将您的dll注入所有进程。
2. 使用DLL_PROCESS_ATTACH处理程序迭代流程模块，并使用您注入的dll的处理程序地址填充另一个流程中的模块导入表。
3. 使用shared sections分享您的数据。