这些东西或许对你有帮助一、1 得到鼠标一、2 的当前位置。
二、向鼠标下的窗口发重画消息，让它调用系统函数重画。
三、截获对系统函数的调用，得到发给系统函数的参数。
下面我对每一条逐个详细描述。实现步骤相关技术的详细描述：
一、3 得到鼠标一、4 的当前位置
只要装入一个WH_MOUSE类型的系统钩子，就可以截获所有的鼠标消息。
SetWindowsHookEx(WH_MOUSE, //钩子类型
(HOOKPROC)MouseProc, //回调函数
GetModuleHandle("hookdll.dll"), //我的动态库
0); //标明是系统钩子
在回调函数里：
if ( wParam == WM_MOUSEMOVE ) {
lpMouseHookStruct = (LPMOUSEHOOKSTRUCT)lParam;
MousePoint=lpMouseHookStruct->pt; //这就是鼠标的当前位置
}2、 向鼠标3、 下的窗口发重画消息，4、 让它调用系统函数重画。
由鼠标的当前位置可以得到它下面的窗口句柄。
HANDLE hwnd=WindowFromPoint(MousePoint);
发重画消息。
RECT rect; //这样构造rect是为了简单起见
ScreenToClient(hwnd,&MousePoint);
rect.left=MousePoint.x;
rect.top=MousePoint.y;
rect.right=MousePoint.x+1;
rect.bottom=MousePoint.y+1;
InvalidateRect(hwnd,&rect,FALSE);5、 截获对系统函数的调用，6、 得到发给系统函数的参数。
我先作出结论，随后再一条一条地解释。
1、 仿照TextOuA,TextOutW,ExtTextOutA,ExtTextOutW做4个自己的函数，2、 与它们的副本
拥有相同的参数和返回值，和系统钩子放在同一个DLL里。它们分别是：MyTextOuA,
MyTextOutW,MyExtTextOutA,MyExtTextOutW。
2、由于系统鼠标钩子已经完成注入其它GUI进程的工作，我们不需要为注入再做工作。
3、 当包含钩子的DLL注入了其它的进程后，4、 寻找映射到这个进程虚拟内存里的各个
模块（EXE和DLL）的基地址。
5、 得到模块的基地址后，6、 根据PE文件的格式穷举这个模块的IMAGE_IMPORT_DESCRIPTOR
数组，看是否引入了gdi32.dll。如是，穷举IMAGE_THUNK_DATA数组，看是否引入了
TextOuA,TextOutW,ExtTextOutA,ExtTextOutW等4个函数。
4、如果找到其中之一，将其替换为相应的自己的函数。下面我对每一步用到的代码和概念进行解释。我们只以TextOutA为例，其余都是相同的。
1、自己的四个函数的代码
SysFunc1=(DWORD)GetProcAddress(GetModuleHandle("gdi32.dll"),"TextOutA");
BOOL WINAPI MyTextOutA(HDC hdc, int nXStart, int nYStart, LPCSTR lpszString,int cbString)
{
输出lpszString的处理。
return ((FARPROC)SysFunc1)(hdc,nXStart,nYStart,lpszString,cbString);
}
我的意图是：当截获了系统调用，每次要显示文字时会调到我的函数，等我显示了
通过参数传给我的单词后，再交给系统函数处理。2、由于系统鼠标钩子已经完成注入其它GUI进程的工作，我们不需要注入再做工作。
如果你知道所有系统钩子的函数必须要在动态库里，你就不会对注入这个词感到奇怪。
首先，当一个进程隐式或显示调用一个动态库里的函数时，系统都要把这个动态库映射
到这个进程的虚拟地址空间里。将DLL映射到进程的虚拟地址空间里使得DLL成为
这个进程的一部分，它以这个进程的身份执行，使用这个进程的堆栈。
图1：DLL映射到进程的虚拟地址空间中对于一个系统钩子来说，系统自动将包含“钩子回调函数”的DLL映射到受到钩子函数
影响的所有进程的地址空间中。也就说是将这个DLL注入了那些进程。
为什么要注入DLL到别的进程呢？
当执行一个EXE时，系统给它分配4GB的虚拟地址空间并将EXE文件几乎是原封不动
到映射到其中，也就是内存中的映像与磁盘上的文件结构是几乎是相同的。然后，系统将
这个EXE直接和间接使用的DLL也几乎是原封不动到映射到其中。DLL在内存中的映像
与磁盘上的文件也几乎是一样的。为什么说几乎呢？因为PE文件的装载器还是要改一点
内容的，比如动态链接的函数的地址。
当我们编的包含钩子的动态库被注入到进程的地址空间后，它就能够查询被注入的进程的
地址空间，并找到EXE和其余DLL被映射到的虚拟内存的基地址。这是我们的目的。3、当包含钩子的DLL注入了其它的进程后，寻找映射到虚拟内存的各个模块（EXE和DLL）
的基地址。
EXE和DLL被映射到虚拟内存空间的什么地方是由它们的基地址决定的。它们的基地址
是在链接时由链接器决定的。当你新建一个Win32工程时，VC++链接器使用缺省的
基地址0x00400000。你如果跟踪进WinMain的时候，hInstance值总是0x00400000就是上面的
原因。当然也可以通过链接器的/BASE选项改变模块的基地址。
现在我们知道了，EXE通常被映射到虚拟内存的0x00400000处。DLL由于它们也有各自
不同的基地址，通常情况下也被映射到不同进程的相同的虚拟地址空间处。
那么我们怎么才能知道EXE和DLL被映射到哪里了呢？
在win32中，HMODULE和HINSTANCE是相同的。它们就是相应模块被装入进程的虚拟
内存空间的基地址。比如：
HMODULE hmodule=GetModuleHandle(“gdi32.dll”);
返回的模块句柄强制转换为指针后，就是gdi32.dll被装入的基地址。
关于如何找到虚拟内存空间映射了哪些DLL？我用如下方式实现：
while(VirtualQuery (base, &mbi, sizeof (mbi))>0) //穷举每一块内存区域
{
if(mbi.Type==MEM_IMAGE) //是EXE或DLL的映射
ChangeFuncEntry((DWORD)mbi.BaseAddress,1); //将基地址作为模块句柄传给我做的函数
base=(DWORD)mbi.BaseAddress+mbi.RegionSize; //继续
}4、得到基地址后，根据PE文件的格式穷举这个模块的IMAGE_IMPORT_DESCRIPTOR数组，
看是否引入了GDI32.DLL。如是，穷举IMAGE_THUNK_DATA数组，看是否引入了
TextOuA,TextOutW,ExtTextOutA,ExtTextOutW等4个函数。
5、如果找到其中之一，将其替换为相应的自己的函数。
在前面已经说过，系统将EXE和DLL原封不动到映射到虚拟内存空间中，它们在内存
中的结构与磁盘上的静态文件结构是一样的。即PE (Portable Executable) 文件格式。
PE文件格式的详细说明请参见MSDN，这里只说明相关的地方。
WIN32 EXE与DLL动态链接的概念。
所有对给定API函数的调用总通过可执行文件的同一个地方转移。那就是一个模块
(可以是EXE或DLL)的输入地址表(import address table)。那里有所有本模块调用的其它
DLL的函数名及地址。对其它DLL的函数调用实际上只是跳转到输入地址表，由输入
地址表再跳转到DLL真正的函数入口。例如：
图2：对MessageBox()的调用跳转到输入地址表，从输入地址表再跳转到MessageBox函数
IMAGE_IMPORT_DESCRIPTOR和IMAGE_THUNK_DATA分别对应于DLL和函数。
它们是PE文件的输入地址表的格式，反正只要这样做就好啦：
BOOL ChangeFuncEntry(HMODULE hmodule)
{
PIMAGE_DOS_HEADER pDOSHeader;
PIMAGE_NT_HEADERS pNTHeader;
PIMAGE_IMPORT_DESCRIPTOR pImportDesc;/*get system functions and my functions' entry*/
pSysFunc1=(DWORD)GetProcAddress(GetModuleHandle("gdi32.dll"),"TextOutA");
pMyFunc1= (DWORD)GetProcAddress(GetModuleHandle("hookdll.dll"),"MyTextOutA");pDOSHeader=(PIMAGE_DOS_HEADER)hmodule;
if (IsBadReadPtr(hmodule, sizeof(PIMAGE_NT_HEADERS)))
return FALSE;
if (pDOSHeader->e_magic != IMAGE_DOS_SIGNATURE)
return FALSE;pNTHeader=(PIMAGE_NT_HEADERS)((DWORD)pDOSHeader+
(DWORD)pDOSHeader->e_lfanew);
if (pNTHeader->Signature != IMAGE_NT_SIGNATURE)
return FALSE;pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)hmodule+
(DWORD)pNTHeader->OptionalHeader.DataDirectory
[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);
if (pImportDesc == (PIMAGE_IMPORT_DESCRIPTOR)pNTHeader)
return FALSE;while (pImportDesc->Name)
{
PIMAGE_THUNK_DATA pThunk;
strcpy(buffer,(char*)((DWORD)hmodule+(DWORD)pImportDesc->Name));
CharLower(buffer);
if(strcmp(buffer,"gdi32.dll"))
{
pImportDesc++;
continue;
}
else
{
pThunk=(PIMAGE_THUNK_DATA)((DWORD)hmodule+(DWORD)pImportDesc->FirstThunk);
while (pThunk->u1.Function)
{
if ((pThunk->u1.Function) == pSysFunc1)
{
VirtualProtect((LPVOID)(&pThunk->u1.Function),
sizeof(DWORD),PAGE_EXECUTE_READWRITE, &dwProtect);
(pThunk->u1.Function)=pMyFunc1;
VirtualProtect((LPVOID)(&pThunk->u1.Function), sizeof(DWORD),dwProtect,&temp);
}
pThunk++;
}
return 1;
}
}
}此段程序中的数据结构及其成员请参见winnt.h。我们替换了输入地址表中TextOutA的入口为MyTextOutA后，截获系统函数调用的
主要部分已经完成，当一个被注入进程调用TextOutA时，其实调的是MyTextOutA，
只需在MyTextOutA中显示传进来的字符串，再交给TextOutA处理即可。后记：
完成了这个程序以后觉得对windows系统有了更深的理解。比如中文平台
可能就是截获这几个函数，然后自己做了一套输出中文的函数。再比如我们
可以注入DLL到超户的进程，那么是不是就得到了超户的权限？关于截获
API调用是一个很复杂的问题，注入DLL的方法就有很多，比如
CreateRemoteThread，win32 debug API等。用系统钩子注入带窗口的进程是
其中的一种比较简单的方法，它对无窗口的进程无效。
这个程序只能在NT上运行。其实我用的方法不是很简单，还有一种更简单
的方法，也许大家已经注意到了，我们可以用GetProcAddress得到TextOutA
的入口，那么我们直接修改入口不是也行吗？具体步骤如下：
1、 用系统钩子注入其它进程。
2、 调用GetProcAddress(GetModuleHandle(“gdi32.dll”),”TextOutA”)得到
TextOutA在地址空间中的地址。
3、 用WriteProcessMemory函数在TextOutA处写一句跳转到MyTextOutA
的语句。（0xE9909090L+MyTextOutA地址）
这样也会使对TextOutA
二、向鼠标下的窗口发重画消息，让它调用系统函数重画。
三、截获对系统函数的调用，得到发给系统函数的参数。
下面我对每一条逐个详细描述。实现步骤相关技术的详细描述：
一、3 得到鼠标一、4 的当前位置
只要装入一个WH_MOUSE类型的系统钩子，就可以截获所有的鼠标消息。
SetWindowsHookEx(WH_MOUSE, //钩子类型
(HOOKPROC)MouseProc, //回调函数
GetModuleHandle("hookdll.dll"), //我的动态库
0); //标明是系统钩子
在回调函数里：
if ( wParam == WM_MOUSEMOVE ) {
lpMouseHookStruct = (LPMOUSEHOOKSTRUCT)lParam;
MousePoint=lpMouseHookStruct->pt; //这就是鼠标的当前位置
}2、 向鼠标3、 下的窗口发重画消息，4、 让它调用系统函数重画。
由鼠标的当前位置可以得到它下面的窗口句柄。
HANDLE hwnd=WindowFromPoint(MousePoint);
发重画消息。
RECT rect; //这样构造rect是为了简单起见
ScreenToClient(hwnd,&MousePoint);
rect.left=MousePoint.x;
rect.top=MousePoint.y;
rect.right=MousePoint.x+1;
rect.bottom=MousePoint.y+1;
InvalidateRect(hwnd,&rect,FALSE);5、 截获对系统函数的调用，6、 得到发给系统函数的参数。
我先作出结论，随后再一条一条地解释。
1、 仿照TextOuA,TextOutW,ExtTextOutA,ExtTextOutW做4个自己的函数，2、 与它们的副本
拥有相同的参数和返回值，和系统钩子放在同一个DLL里。它们分别是：MyTextOuA,
MyTextOutW,MyExtTextOutA,MyExtTextOutW。
2、由于系统鼠标钩子已经完成注入其它GUI进程的工作，我们不需要为注入再做工作。
3、 当包含钩子的DLL注入了其它的进程后，4、 寻找映射到这个进程虚拟内存里的各个
模块（EXE和DLL）的基地址。
5、 得到模块的基地址后，6、 根据PE文件的格式穷举这个模块的IMAGE_IMPORT_DESCRIPTOR
数组，看是否引入了gdi32.dll。如是，穷举IMAGE_THUNK_DATA数组，看是否引入了
TextOuA,TextOutW,ExtTextOutA,ExtTextOutW等4个函数。
4、如果找到其中之一，将其替换为相应的自己的函数。下面我对每一步用到的代码和概念进行解释。我们只以TextOutA为例，其余都是相同的。
1、自己的四个函数的代码
SysFunc1=(DWORD)GetProcAddress(GetModuleHandle("gdi32.dll"),"TextOutA");
BOOL WINAPI MyTextOutA(HDC hdc, int nXStart, int nYStart, LPCSTR lpszString,int cbString)
{
输出lpszString的处理。
return ((FARPROC)SysFunc1)(hdc,nXStart,nYStart,lpszString,cbString);
}
我的意图是：当截获了系统调用，每次要显示文字时会调到我的函数，等我显示了
通过参数传给我的单词后，再交给系统函数处理。2、由于系统鼠标钩子已经完成注入其它GUI进程的工作，我们不需要注入再做工作。
如果你知道所有系统钩子的函数必须要在动态库里，你就不会对注入这个词感到奇怪。
首先，当一个进程隐式或显示调用一个动态库里的函数时，系统都要把这个动态库映射
到这个进程的虚拟地址空间里。将DLL映射到进程的虚拟地址空间里使得DLL成为
这个进程的一部分，它以这个进程的身份执行，使用这个进程的堆栈。
图1：DLL映射到进程的虚拟地址空间中对于一个系统钩子来说，系统自动将包含“钩子回调函数”的DLL映射到受到钩子函数
影响的所有进程的地址空间中。也就说是将这个DLL注入了那些进程。
为什么要注入DLL到别的进程呢？
当执行一个EXE时，系统给它分配4GB的虚拟地址空间并将EXE文件几乎是原封不动
到映射到其中，也就是内存中的映像与磁盘上的文件结构是几乎是相同的。然后，系统将
这个EXE直接和间接使用的DLL也几乎是原封不动到映射到其中。DLL在内存中的映像
与磁盘上的文件也几乎是一样的。为什么说几乎呢？因为PE文件的装载器还是要改一点
内容的，比如动态链接的函数的地址。
当我们编的包含钩子的动态库被注入到进程的地址空间后，它就能够查询被注入的进程的
地址空间，并找到EXE和其余DLL被映射到的虚拟内存的基地址。这是我们的目的。3、当包含钩子的DLL注入了其它的进程后，寻找映射到虚拟内存的各个模块（EXE和DLL）
的基地址。
EXE和DLL被映射到虚拟内存空间的什么地方是由它们的基地址决定的。它们的基地址
是在链接时由链接器决定的。当你新建一个Win32工程时，VC++链接器使用缺省的
基地址0x00400000。你如果跟踪进WinMain的时候，hInstance值总是0x00400000就是上面的
原因。当然也可以通过链接器的/BASE选项改变模块的基地址。
现在我们知道了，EXE通常被映射到虚拟内存的0x00400000处。DLL由于它们也有各自
不同的基地址，通常情况下也被映射到不同进程的相同的虚拟地址空间处。
那么我们怎么才能知道EXE和DLL被映射到哪里了呢？
在win32中，HMODULE和HINSTANCE是相同的。它们就是相应模块被装入进程的虚拟
内存空间的基地址。比如：
HMODULE hmodule=GetModuleHandle(“gdi32.dll”);
返回的模块句柄强制转换为指针后，就是gdi32.dll被装入的基地址。
关于如何找到虚拟内存空间映射了哪些DLL？我用如下方式实现：
while(VirtualQuery (base, &mbi, sizeof (mbi))>0) //穷举每一块内存区域
{
if(mbi.Type==MEM_IMAGE) //是EXE或DLL的映射
ChangeFuncEntry((DWORD)mbi.BaseAddress,1); //将基地址作为模块句柄传给我做的函数
base=(DWORD)mbi.BaseAddress+mbi.RegionSize; //继续
}4、得到基地址后，根据PE文件的格式穷举这个模块的IMAGE_IMPORT_DESCRIPTOR数组，
看是否引入了GDI32.DLL。如是，穷举IMAGE_THUNK_DATA数组，看是否引入了
TextOuA,TextOutW,ExtTextOutA,ExtTextOutW等4个函数。
5、如果找到其中之一，将其替换为相应的自己的函数。
在前面已经说过，系统将EXE和DLL原封不动到映射到虚拟内存空间中，它们在内存
中的结构与磁盘上的静态文件结构是一样的。即PE (Portable Executable) 文件格式。
PE文件格式的详细说明请参见MSDN，这里只说明相关的地方。
WIN32 EXE与DLL动态链接的概念。
所有对给定API函数的调用总通过可执行文件的同一个地方转移。那就是一个模块
(可以是EXE或DLL)的输入地址表(import address table)。那里有所有本模块调用的其它
DLL的函数名及地址。对其它DLL的函数调用实际上只是跳转到输入地址表，由输入
地址表再跳转到DLL真正的函数入口。例如：
图2：对MessageBox()的调用跳转到输入地址表，从输入地址表再跳转到MessageBox函数
IMAGE_IMPORT_DESCRIPTOR和IMAGE_THUNK_DATA分别对应于DLL和函数。
它们是PE文件的输入地址表的格式，反正只要这样做就好啦：
BOOL ChangeFuncEntry(HMODULE hmodule)
{
PIMAGE_DOS_HEADER pDOSHeader;
PIMAGE_NT_HEADERS pNTHeader;
PIMAGE_IMPORT_DESCRIPTOR pImportDesc;/*get system functions and my functions' entry*/
pSysFunc1=(DWORD)GetProcAddress(GetModuleHandle("gdi32.dll"),"TextOutA");
pMyFunc1= (DWORD)GetProcAddress(GetModuleHandle("hookdll.dll"),"MyTextOutA");pDOSHeader=(PIMAGE_DOS_HEADER)hmodule;
if (IsBadReadPtr(hmodule, sizeof(PIMAGE_NT_HEADERS)))
return FALSE;
if (pDOSHeader->e_magic != IMAGE_DOS_SIGNATURE)
return FALSE;pNTHeader=(PIMAGE_NT_HEADERS)((DWORD)pDOSHeader+
(DWORD)pDOSHeader->e_lfanew);
if (pNTHeader->Signature != IMAGE_NT_SIGNATURE)
return FALSE;pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)hmodule+
(DWORD)pNTHeader->OptionalHeader.DataDirectory
[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress);
if (pImportDesc == (PIMAGE_IMPORT_DESCRIPTOR)pNTHeader)
return FALSE;while (pImportDesc->Name)
{
PIMAGE_THUNK_DATA pThunk;
strcpy(buffer,(char*)((DWORD)hmodule+(DWORD)pImportDesc->Name));
CharLower(buffer);
if(strcmp(buffer,"gdi32.dll"))
{
pImportDesc++;
continue;
}
else
{
pThunk=(PIMAGE_THUNK_DATA)((DWORD)hmodule+(DWORD)pImportDesc->FirstThunk);
while (pThunk->u1.Function)
{
if ((pThunk->u1.Function) == pSysFunc1)
{
VirtualProtect((LPVOID)(&pThunk->u1.Function),
sizeof(DWORD),PAGE_EXECUTE_READWRITE, &dwProtect);
(pThunk->u1.Function)=pMyFunc1;
VirtualProtect((LPVOID)(&pThunk->u1.Function), sizeof(DWORD),dwProtect,&temp);
}
pThunk++;
}
return 1;
}
}
}此段程序中的数据结构及其成员请参见winnt.h。我们替换了输入地址表中TextOutA的入口为MyTextOutA后，截获系统函数调用的
主要部分已经完成，当一个被注入进程调用TextOutA时，其实调的是MyTextOutA，
只需在MyTextOutA中显示传进来的字符串，再交给TextOutA处理即可。后记：
完成了这个程序以后觉得对windows系统有了更深的理解。比如中文平台
可能就是截获这几个函数，然后自己做了一套输出中文的函数。再比如我们
可以注入DLL到超户的进程，那么是不是就得到了超户的权限？关于截获
API调用是一个很复杂的问题，注入DLL的方法就有很多，比如
CreateRemoteThread，win32 debug API等。用系统钩子注入带窗口的进程是
其中的一种比较简单的方法，它对无窗口的进程无效。
这个程序只能在NT上运行。其实我用的方法不是很简单，还有一种更简单
的方法，也许大家已经注意到了，我们可以用GetProcAddress得到TextOutA
的入口，那么我们直接修改入口不是也行吗？具体步骤如下：
1、 用系统钩子注入其它进程。
2、 调用GetProcAddress(GetModuleHandle(“gdi32.dll”),”TextOutA”)得到
TextOutA在地址空间中的地址。
3、 用WriteProcessMemory函数在TextOutA处写一句跳转到MyTextOutA
的语句。（0xE9909090L+MyTextOutA地址）
这样也会使对TextOutA
http://member.netease.com/~inetsoft/downloads/sourcecode/windows/freedic/freedict.zip
屏幕抓词源代码
http://member.netease.com/~inetsoft/downloads/sourcecode/windows/freedic/lzw_soft.zip
屏幕抓词OCX控件源代码，
http://member.netease.com/~inetsoft/downloads/sourcecode/windows/freedic/mulmon.zip
屏幕抓词源代码，不过是加密的
http://member.netease.com/~inetsoft/downloads/sourcecode/windows/freedic/dict.zip
屏幕抓词教程 http://member.netease.com/~inetsoft/downloads/sourcecode/windows/freedic/dict_tut.htm
屏幕取词大家谈
http://member.netease.com/~inetsoft/downloads/sourcecode/windows/freedic/screen1.HTM
http://go6.163.com/dongfa/default.htm