WindowsCE跨進(jìn)程內(nèi)存注入原理

　　一、程序?qū)崿F(xiàn)的先決條件

　　由于windows系統(tǒng)的窗體消息總是投遞至一個(gè)特定進(jìn)程的指定窗體消息函數(shù)中。于是在本地進(jìn)程（自己的應(yīng)用程序）中取得屬于其它進(jìn)程的窗體的消息必須實(shí)現(xiàn)以下兩個(gè)部分：

　　1、將需要掛接窗體的代碼放到目標(biāo)進(jìn)程的地址空間中去。

　　2、執(zhí)行這一段代碼，并獲得目標(biāo)進(jìn)程窗體的消息。

　　這兩步看起來(lái)很簡(jiǎn)單，但在實(shí)現(xiàn)過(guò)程中就比較困難。由于Windows CE作為嵌入式移動(dòng)設(shè)備操作系統(tǒng)，與windows 98/2000/XP等桌面操作系統(tǒng)在內(nèi)核的設(shè)計(jì)理念以及API的支持上有極大的區(qū)別。這就直接導(dǎo)致了常規(guī)的桌面系統(tǒng)利用全局鼠標(biāo)鉤子注入/遠(yuǎn)程線程注入等方法在CE中完全得不通。不過(guò)可喜的是，微軟在開(kāi)發(fā)工具中提供的remotexxx等遠(yuǎn)程調(diào)試程序使我清楚這個(gè)目標(biāo)并不是不可能的任務(wù)，微軟既然可以做到，那就是說(shuō)在CE的內(nèi)部一定有一套完整的跨進(jìn)程內(nèi)存訪問(wèn)/代碼注入的機(jī)制。

　　二、程序?qū)崿F(xiàn)的基本原理

　　經(jīng)過(guò)兩天的google 搜索，在網(wǎng)上我發(fā)現(xiàn)了一個(gè)沒(méi)有在微軟文檔中聲明的有趣的API函數(shù)：PerformCallBack4，傳說(shuō)中這個(gè)函數(shù)可以在自己的應(yīng)用程序中執(zhí)行指定的進(jìn)程中的一個(gè)函數(shù)，So Cool!這好象正是我所需要的東西。雖然網(wǎng)上也傳聞這個(gè)函數(shù)在wm5不受支持，其實(shí)經(jīng)過(guò)實(shí)踐這個(gè)傳聞只是謠傳而已！

　　PerformCallBack4函數(shù)的定義：

[DllImport("coredll.dll")]
public static extern uint PerformCallBack4(ref CallBackInfo CallBackInfo,
IntPtr ni_pVoid1,IntPtr ni_pVoid2,IntPtr ni_pVoid3);

　　其中函數(shù)的參數(shù)CallBackInfo結(jié)構(gòu)定義:

[StructLayout(LayoutKind.Sequential)]
public struct CallBackInfo
{
public IntPtr hProc; //遠(yuǎn)程的目標(biāo)進(jìn)程
public IntPtr pfn; //指向遠(yuǎn)程目標(biāo)進(jìn)程的函數(shù)地址的指針
public IntPtr pvArg0; //函數(shù)的需要的第一個(gè)參數(shù)
}//end struct

　　而PerformCallback4的 ni_pVoid1、ni_pVoid2、ni_pVoid3為傳遞到遠(yuǎn)程目標(biāo)進(jìn)程執(zhí)行函數(shù)的其它三個(gè)參數(shù)。

　　至于將代碼放到目標(biāo)進(jìn)程的內(nèi)存空間，我們可以利用CE設(shè)計(jì)上的一個(gè)特性：

　　1、為了節(jié)約內(nèi)存使用，CE將所有程序調(diào)用的動(dòng)態(tài)鏈接庫(kù)（DLL）都映射到同一個(gè)內(nèi)存地址中。

　　2、CE的內(nèi)存布局中劃分有一個(gè)slot0的內(nèi)存位置，這個(gè)內(nèi)存位置是由正在執(zhí)行的進(jìn)程所占有的，每一個(gè)特定的時(shí)間片，只能有一個(gè)進(jìn)程可以占有這個(gè)內(nèi)存空間。在進(jìn)程要求執(zhí)行時(shí)，系統(tǒng)并不直接執(zhí)行進(jìn)程所處內(nèi)存位置的代碼，而是將該進(jìn)程的執(zhí)行代碼復(fù)制到slot0的內(nèi)存位置中產(chǎn)生一個(gè)副本執(zhí)行。也就是說(shuō)進(jìn)程在執(zhí)行時(shí)內(nèi)存將會(huì)有進(jìn)程執(zhí)行代碼的兩個(gè)完全一樣的版本：存在于slot0中正在執(zhí)行的進(jìn)程代碼和進(jìn)程本身所處的內(nèi)存中的代碼。

　　在這個(gè)特性下，可以得到結(jié)論：如果進(jìn)程A通過(guò)LoadLibrary函數(shù)裝載Test.dll，而進(jìn)程B也通過(guò)LoadLibrary函數(shù)裝載同一個(gè)Test.dll，這個(gè)Test.dll的所有函數(shù)在進(jìn)程A和進(jìn)程B中執(zhí)行時(shí)，相對(duì)于slot0中的進(jìn)程執(zhí)行代碼都會(huì)得到同一地址。

　　3、在CE中，系統(tǒng)在內(nèi)存中劃分出33個(gè)slot，slot0保留給正在執(zhí)行的進(jìn)程，然后在進(jìn)程啟動(dòng)時(shí)將所有的代碼放到除slot0以外的一個(gè)slot中（這就是臭名昭著的CE系統(tǒng)中內(nèi)存最多只能有不多于32個(gè)程序執(zhí)行的限制的來(lái)由）。在進(jìn)程執(zhí)行時(shí)，每個(gè)應(yīng)用程序的內(nèi)存訪問(wèn)默認(rèn)只能訪問(wèn)slot0內(nèi)存空間中的地址以及進(jìn)程所處的slot內(nèi)存空間的地址。 但為使設(shè)備驅(qū)動(dòng)程序可以訪問(wèn)到它們所需的其它應(yīng)用程序數(shù)據(jù)，CE提供了兩個(gè)函數(shù)以打破這個(gè)限制，SetKmode和SetProcPermission，SetKmode函數(shù)告訴系統(tǒng)，當(dāng)前運(yùn)行的進(jìn)程是否需要在內(nèi)核模式中執(zhí)行；SetProcPermission函數(shù)可以接受一個(gè)位掩碼，每一位代碼一個(gè)slot的訪問(wèn)控制，1代表可以訪問(wèn)該slot的內(nèi)存內(nèi)容。0表示不能訪問(wèn)該slot的內(nèi)存內(nèi)容。這兩個(gè)函數(shù)在msdn中有幫助文檔，可參閱msdn的文檔說(shuō)明。