Hook aus Service

[hesch21]

Schon wieder!
ich habe mich nicht damit abgefunden, dass das mit einem Tastatur-Hook aus einem Service nicht gehen soll. Vorab: Ich programmiere keine Spy-Ware sondern will für mein Alarmierungstool eine Tastenkombination in jedem Zustand des Rechners abfangen können. Bis und mit XP war das noch mit einem Gina-Stub möglich. Und jetzt arbeite ich mit einem KeyboardFilterDriver. Das ist aber hässlich da man auch noch alle Antivirus-Programme überlisten muss und der Treiber kann nur über Neustart entfernt werden kann.
Ich habe aber Programme gesehen, die Tastenkombinationen auch auf WINLOGON-Ebene abfangen und habe mich nochmals dahinter gesetzt. Eigentlich habe ich es beinahe geschafft. Folgender Code in der Hook-DLL:

Code:

procedure HookOn ; stdcall;
var hWinStaUser  : HWINSTA;
var hDeskUser    : HDESK;
var hUInputDT    : HDESK;
var hThreadDT    : HDESK;
var iLen         : DWORD;
var pDesktopName : array[0..255] of char;
var KName        : string;
begin
 kName := 'Default';
 hWinStaUser := OpenWindowStation('WinSta0', FALSE, MAXIMUM_ALLOWED);
 if (SetProcessWindowStation(hWinStaUser)) then
    begin
    hUInputDT  := OpenInputDesktop(0, False, MAXIMUM_ALLOWED);
    hThreadDT  := GetThreadDesktop(GetCurrentThreadId);
    if hUInputDT <> 0 then
       begin
       GetUserObjectInformation(hUInputDT, UOI_NAME, @pDesktopName, 256, iLen);
       kName := trim(pDesktopName);
       Writelog('Name ' + kName);
       end
    else
       Writelog('Fehler auslesen ');
    hDeskUser := OpenDesktop(PChar(kName), 0, FALSE, MAXIMUM_ALLOWED);
    if (SetThreadDesktop(hDeskUser)) then
       begin
       HookTastatur := SetWindowsHookEx(WH_KEYBOARD_LL, @CallBackDelHook, HInstance , 0);
       Writelog('Hook gesetzt');
       end;
    end;
 if (hDeskUser) <> 0 then
    CloseDesktop(hDeskUser);
 if (hWinStaUser) <> 0 then
    CloseWindowStation(hWinStaUser);
end;

Die Writelog-Befehle sind logischerweise nur für Testzwecke. Das funktioniert, egal welcher Desktop beim Start des Hooks aktiv ist. Die CallBack-Fuunktion liefert dem Service über Pipe die Tastenkombination zurück. Damit Ihr mir glaubt, dass es um eine Tastenkombination geht, hier der Code:

Code:

function CallBackDelHook(Code:Integer; wParam:WPARAM; lParam:LPARAM): LRESULT; stdcall;
begin
 if code = HC_ACTION then
    begin
    if (wParam = WM_KEYDOWN) and (Zwei = 0) then
       begin
       Erster  := PKBDLLHookInfo(lParam).vkCode;
       Zwei    := 1;
       end;
    if (wParam = WM_KEYDOWN) and (Zwei = 1) then
       begin
       if PKBDLLHookInfo(lParam).vkCode <> Erster then
          begin
          Zweiter := PKBDLLHookInfo(lParam).vkCode;
          Zwei    := 2;
          end;
       end;
    if (wParam = WM_KEYUP) and (Zwei <> 2) then
       Zwei    := 0;
    if (wParam = WM_KEYUP) and (Zwei = 2) then
       begin
       Zwei    := 0;
       with TPipeClient.Create('', 'AMHookDLL') do
          try
            if SendString('AMHookDLL ' + format('%3d', [Erster]) +  '¦' + format('%3d', [Zweiter])) = 'PipeError' then
               WriteLog('Pipe-Fehler');
          finally
             Free;
          end;
       end;
    end;
 Result := CallNextHookEx(HookTastatur, Code, wParam, lParam);
 end;

Das Problem ist nun folgendes: Damit die DLL mitbekommt, wenn der Desktop ändert (Default, Winlogon, Screen Saver), hänge ich einfach periodisch mittels Timer im Service den Hook ab und dann wieder an. Und da bleibt mir die HookOn procedure der DLL auf dem SetThreadDesktop(hDeskUser) hängen, resp. ich bekomme 0 zurück. Gemäss Microsoft sind folgende Gründe für ein Fehler angegeben:

Zitat:

The SetThreadDesktop function will fail if the calling thread has any windows or hooks on its current desktop (unless the hDesktop parameter is a handle to the current desktop).

Ich habe aber den Hook vorher abgehängt (habe auch mal ein Sleep zwischen Abhängen und Neustart eingefügt) und zudem geht es auch nicht, wenn der Desktop nicht gewechselt hat.

Hat da jemand eine Idee?

[hesch21]

Habe gesehen, dass eigentlich die HookOn-Procedure auch in einer abgespeckten Version noch gleichermassen funktioniert:

Code:

procedure HookOn ; stdcall;
var hWinStaUser  : HWINSTA;
var hUInputDT    : HDESK;
begin
 hWinStaUser := OpenWindowStation('WinSta0', FALSE, MAXIMUM_ALLOWED);
 if (SetProcessWindowStation(hWinStaUser)) then
    begin
    hUInputDT  := OpenInputDesktop(0, False, MAXIMUM_ALLOWED);
    if (SetThreadDesktop(hUInputDT)) then
       begin
       HookTastatur := SetWindowsHookEx(WH_KEYBOARD_LL, @CallBackDelHook, HInstance , 0);
       Writelog('Hook gesetzt');
       end
    else
       Writelog('Hook nicht gesetzt');
    end;
end;

Aber das Problem bleibt dasselbe: Der SetThreadDesktop funktioniert nur einmal. Und inzwischen habe ich auch herausgefunden, weshalb: Bei Microsoft ist noch folgende Korrektur zu finden:

Zitat:

errata
"The SetThreadDesktop function will fail if the calling thread has any windows or hooks on its current desktop"

This is understated. SetThreadDesktop will fail if the calling thread has ever had a window or hook on its current desktop.

Nun meine Frage: Hat jemand eine Idee, wie man:
- den SetWindowsHookEx auf andere Art auf den richtigen Desktop leiten kann oder
- Windows beibringen kann, dass der Thread gar nie einen Hook hatte

Habe bereits versucht, vom Dienst einfach die DLL neu zu laden (FreeLibrary und LoadLibrary) aber das geht offenbar zu schnell, resp. es scheint so als ob beim Load immer noch der alte DLL-Tread aktiv ist. Jedenfalls läuft die begin - end - Sequenz der DLL beim Neuladen nicht ab.

[Delphi-Laie]

Und niemand der Experten hier wußte bisher, Dir einen Rat zu geben?

Also, der Desktop ist n.m.W. auch "nur" ein Explorerfenster.

Freelibrary hat den Rückgabewert "bool". Den würde ich abfragen (oder, noch besser, gleich mit repat until Freelibrary() die Freigabe absichern) und eben nur bei "true" bzw. verlassener Schleife den Hook neu zu installieren versuchen.

[hesch21]

Hallo Delphi-Laie
so ganz nach Laie tönt deine Antwort nicht, aber inzwischen bin ich dahinter gekommen, dass das Problem nicht am verzögerten Neustart der DLL liegt. Auch wenn ich den Neustart z.B. mit Deiner Methode verzögere, bis die DLL sicher weg ist, geht danach bereits beim ersten HookOn der SetThreadDesktop nicht. Ich bin da wirklich Laie, aber ich vermute deshalb, die DLL übernimmt/bezieht den Thread vom aufrufenden Programm/Service und bleibt somit unverändert.

Das Problem liegt eindeutig daran, dass SetThreadDesktop nicht geht, wenn bereits mal ein Hook gesetzt war und ich keine andere Art kenne, wie den SetWindowsHookEx auf den richtigen Desktop zu leiten. Nur OpenInputDesktop reicht nicht.

[Delphi-Laie]

Nun, von einem Experten bin ich weit entfernt und werde es mangels Interesses und Ehrgeizes (in dieser Hinsicht) auch bleiben. Ich beschäftigte mich mal mit Hooks und konnte welche sogar erfolgreich implementiere, stellte aber fest, daß das eine ekelhafte, fragile Angelegenheit ist (wie überhaupt m.E. das meiste des API).

Dabei half mir Assarbads Skript über Hooks. Standardfrage: Lasest Du es Dir schon durch?

Er ist der am tiefsten in diese Materie eingearbeitete der mir aus den Foren bekannten Delphi-Programmierer. Vielleicht entdeckte er diese Diskussion bisher nur nicht. Vielleicht hilft eine PM an ihn, diese Diskussion mit stärkerer Substanz zu füllen, als ich dazu bisher (nicht) imstande war.

[Delphi-Laie]

Eines fiel mir aber noch auf: "SetWindowsHookEx" hat den Rückgabewert "bool", und der sollte ausgewertet werden. Erst wenn das fehlschlägt, ist die Installation desselben gescheitert und eine diesbezügliche Ausgabe korrekt.

[hesch21]

Jein! Offenbar hängt sich der Hook, den man mit SetWindowsHookEx setzt, an den Desktop des aktuellen Thread an. Logischerweise habe ich es schon ohne den SetThreadDesktop versucht, aber dann geht gar nichts mehr. Und da beim zweiten Anlauf der SetThreadDesktop immer False liefert, komme ich schon gar nicht mehr auf den SetWindowsHookEx. Der Rückgabewert wird übrigens in HookTastatur abgelegt und weiter unten abgefragt.
Und das Tutorial von Assarbad kenne ich natürlich, habe aber in diesem Zusammenhang nichts gefunden, was mir hätte weiter helfen können.

[Delphi-Laie]

Wird der Hook überhaupt zwischenzeitlich wieder entladen, bevor er neugeladen wird? Ich finde "UnhookWindowsHookEx" nirgendwo.

[hesch21]

Habe natürlich nicht sie ganze DLL gepostet. Aber das da gibt es schon auch noch:

Code:

procedure HookOff;  stdcall;
begin
   UnhookWindowsHookEx(HookTastatur);
end;

Und logischerweise rufe ich HookOff bevor ich HookOn erneut aufrufe.

[hesch21]

Ich habe übrigens zwischenzeitlich noch zwei andere Dinge versucht:

1. Den Hook direkt im Service unterzubringen, also ohne DLL. Das funktioniert auch im Service. siehe Thread [DP]'SetWindowsHookEx ... geht systemweit auch ohne DLL ... ?'
[/DP]. Aber ausser dass die Sache einfacher zu testen ist und keine Pipe mehr nötig ist, hat es auch nichts gebracht.

2. Ich bin auf die Idee gekommen, gleich drei Hooks zu installieren, je einen für den Default, den Winlogon und ScreenSaver - Desktop. Das funktioniert sogar, bis man die erste Taste drückt. Dann verabschiedet sich der Service, aber ohne Exception. Einfach beendet. Mehrere Hooks sind möglich, das weiss ich, aber vermutlich nicht vom gleichen Typ (Keybooard).