IT博客-桂湖山BLOG-随笔分类-windows OS

阻断弹出式广告的BHO 的学习

桂湖山 — Wed, 07 Sep 2011 10:09:00 GMT

注明转自Delphi深度探索

介绍

随着网络免费的大潮的退去，网站变得越来越商业化。浏览一些常去的网站，每看一个页面都会弹出N多的广告窗口，而且都是花花绿绿的Flash和Gif小动画,浪费带宽（我在家还是拨号上网），同时干扰了正常的阅读，非常讨厌。那么如何才能将这些广告屏蔽掉呢？答案就是Browser Helper Object(简称BHO)。

BHO实际上也是一个简单的IE扩展COM组件，它和其它COM组件的区别就在于其它扩展需要一些用户的手工操作，如点击菜单，点击工具条按钮，在地址栏输入网址等等触发动作才会被IE加载。而BHO则不同，每当IE启动时，都会自动去加载BHO而无须任何触发条件，另外BHO还可以监听IE的各类事件的通知消息，比如窗口大小的变化，下载是否完成等事件。

由于BHO可以在一启动IE就被加载，并能监听各种事件，我们就可以使用BHO扩展实现限制用户浏览某些色情网站，或者搜集用户浏览喜好信息等功能。接下来，我们就来实现一个能够阻断广告弹出的BHO扩展。

创建COM组件

新建一个ActiveX Library，保存为IEBHO.dpr，然后新建一个名为TIEAdvBHO的COM Object，然后保存生成的文件为CIEBHO.pas，作为BHO扩展，需要实现两个接口IObjectWithSite和IDispatch，其中 IObjectWithSite接口同前面的工具条扩展一样可以用来获得浏览器的接口，而IDispatch接口，则被用来监听浏览器的事件。下面就是BHO扩展的类定义：

type

  TTIEAdvBHO = class(TComObject, IObjectWithSite, IDispatch)

  private

    FIESite: IUnknown;

    FIE: IWebBrowser2;

    FCPC: IConnectionPointContainer;

    FCP: IConnectionPoint;

    FCookie: Integer;

  protected

    //IObjectWithSite接口方法定义

    function SetSite(const pUnkSite: IUnknown): HResult; stdcall;

    function GetSite(const riid: TIID; out site: IUnknown): HResult; stdcall;

    //IDispatch接口方法定义

    function GetTypeInfoCount(out Count: Integer): HResult; stdcall;

    function GetTypeInfo(Index, LocaleID: Integer; out TypeInfo): HResult;

      stdcall;

    function GetIDsOfNames(const IID: TGUID; Names: Pointer;

      NameCount, LocaleID: Integer; DispIDs: Pointer): HResult; stdcall;

    function Invoke(DispID: Integer; const IID: TGUID; LocaleID: Integer;

      Flags: Word; var Params; VarResult, ExcepInfo, ArgErr: Pointer): HResult;

      stdcall;

    //阻断广告弹出事件处理过程

procedure DoNewWindow2(var ppDisp: IDispatch; var Cancel: WordBool);

    procedure DoBeforeNavigate2(const pDisp: IDispatch; var URL: OleVariant; var Flags: OleVariant; var TargetFrameName: OleVariant; 
var PostData: OleVariant;var Headers: OleVariant; var Cancel: WordBool);

end;

IObjectWithSite的接口的实现

先看IObjectWithSite的接口的实现，当IE加载BHO扩展后，会调用BHO的扩展，把自身的IUnknown接口作为参数pUnkSite传给扩展，BHO扩展应该从pUnkSite参数中获得浏览器接口IWebBrowser2,同时为了监听浏览器的事件，还需要获得事件链接点接口，IE的支持的事件都定义在DWebBrowserEvents2的双接口中，使用链接点的Advise方法建立对IE事件的监听，注意Advise方法调用后会返回一个Cookie，需要保存Cookie，后面在退出IE时，需要Cookie作为参数来断开对IE事件的监听。

function TTIEAdvBHO.SetSite(const pUnkSite: IInterface): HResult;

begin

  Result := E_FAIL;

  //保存接口

  FIESite := pUnkSite;

  if not Supports(FIESite, IWebBrowser2, FIE) then

Exit;

  //获得事件连接点

  if not Supports(FIE, IConnectionPointContainer, FCPC) then

    Exit;

  FCPC.FindConnectionPoint(DWebBrowserEvents2, FCP);

  //监听事件

  FCP.Advise(Self, FCookie);

  Result := S_OK;

end;

后面IE有时会调用IObjectWithSite接口的GetSite方法获得需要的接口，这时可以将保存的接口返回。

function TTIEAdvBHO.GetSite(const riid: TIID;

  out site: IInterface): HResult;

begin

  if Supports(FIESite, riid,site) then

    Result := S_OK

  else

    Result:= E_NOINTERFACE;

end;

IDispatch接口的实现

前面我们在SetSite中建立了对IE事件的监听，建立事件监听后每当IE产生了新的事件，它就会调用扩展的IDispatch接口的Invoke方法通知扩展发生的事件类型以及事件参数，并请求扩展对事件进行处理。因此对于BHO扩展来说，IDispatch接口的Invoke方法是必须实现的，而其它的GetTypeInfoCount，GetTypeInfo和GetIDsOfNames方法都无须实现，只要返回结果为E_NOTIMPL，表示未实现该方法就可以了。

function TTIEAdvBHO.GetIDsOfNames(const IID: TGUID; Names: Pointer;

  NameCount, LocaleID: Integer; DispIDs: Pointer): HResult;

begin

  Result := E_NOTIMPL;

end;

function TTIEAdvBHO.GetTypeInfo(Index, LocaleID: Integer;

  out TypeInfo): HResult;

begin

  Result := E_NOTIMPL;

  pointer(TypeInfo) := nil;

end;

function TTIEAdvBHO.GetTypeInfoCount(out Count: Integer): HResult;

begin

  Result := E_NOTIMPL;

  Count := 0;

end;

事件的监听

IE支持的事件都定义在DWebEvents2接口中，如下：

  DWebBrowserEvents2 = dispinterface

    ['{34A715A0-6587-11D0-924A-0020AFC7AC4D}']

    procedure StatusTextChange(const Text: WideString); dispid 102;

    procedure ProgressChange(Progress: Integer; ProgressMax: Integer); dispid 108;

    procedure CommandStateChange(Command: Integer; Enable: WordBool); dispid 105;

    procedure DownloadBegin; dispid 106;

    procedure DownloadComplete; dispid 104;

    procedure TitleChange(const Text: WideString); dispid 113;

    procedure PropertyChange(const szProperty: WideString); dispid 112;

procedure BeforeNavigate2(const pDisp: IDispatch; var URL: OleVariant; var Flags:

 OleVariant; var TargetFrameName: OleVariant; var PostData: OleVariant;

var Headers: OleVariant; var Cancel: WordBool); dispid 250;

    procedure NewWindow2(var ppDisp: IDispatch; var Cancel: WordBool); dispid 251;

    procedure NavigateComplete2(const pDisp: IDispatch; var URL: OleVariant); dispid 252;

    procedure DocumentComplete(const pDisp: IDispatch; var URL: OleVariant); dispid 259;

    procedure OnQuit; dispid 253;

    procedure OnVisible(Visible: WordBool); dispid 254;

    procedure OnToolBar(ToolBar: WordBool); dispid 255;

    procedure OnMenuBar(MenuBar: WordBool); dispid 256;

    procedure OnStatusBar(StatusBar: WordBool); dispid 257;

    procedure OnFullScreen(FullScreen: WordBool); dispid 258;

    procedure OnTheaterMode(TheaterMode: WordBool); dispid 260;

  end;

可以看到每个事件中的后面都有一个dispid关键加上数字如 258 ,260等等。Dispid的数字就是事件类型的标识符号。
IDispatch的Invoke方法定义如下：

    function Invoke(DispID: Integer; const IID: TGUID; LocaleID: Integer;

Flags: Word; var Params; VarResult, ExcepInfo, ArgErr: Pointer): HResult;

当IE调用Invoke方法时，会设定DispId参数为事件的标识符号，这样我们就可以知道IE发生了什么事件。对于要实现的阻断广告窗口弹出来说，我们只需关心BeforeNavigate2和OnQuit事件就可以了，因为当广告窗口弹出前，会激发 IE的BeforeNavigate2事件，而弹出式窗口一般没有工具条，所以只要BeforeNavigate2事件中判断当前页面是否有工具条就可以判断是否是弹出窗口，并予以禁止。而当IE退出时，会激发OnQuit事件，在OnQuit事件中应该断开事件监听，同时清理分配的资源。下面就是截获BeforeNavigate2和OnQuit事件的Invoke方法的实现:

procedure BuildPositionalDispIds(pDispIds: PDispIdList; const dps: TDispParams);

var

  i: integer;

begin

  Assert(pDispIds <> nil);

  for i := 0 to dps.cArgs - 1 do

    pDispIds^[i] := dps.cArgs - 1 - i;

  if (dps.cNamedArgs <= 0) then

    Exit;

  for i := 0 to dps.cNamedArgs - 1 do

    pDispIds^[dps.rgdispidNamedArgs^[i]] := i;

end;

function TTIEAdvBHO.Invoke(DispID: Integer; const IID: TGUID;

  LocaleID: Integer; Flags: Word; var Params; VarResult, ExcepInfo,

  ArgErr: Pointer): HResult;

var

  dps: TDispParams absolute Params;

  bHasParams: boolean;

  pDispIds: PDispIdList;

  iDispIdsSize: integer;

begin

  pDispIds := nil;

  iDispIdsSize := 0;

  bHasParams := (dps.cArgs > 0);

  if (bHasParams) then

  begin

    iDispIdsSize := dps.cArgs * SizeOf(TDispId);

    GetMem(pDispIds, iDispIdsSize);

  end;

try

    if (bHasParams) then

      BuildPositionalDispIds(pDispIds, dps);

    Result := S_OK;

    case DispId of

      250://BeforeNaviage2事件id

        begin

          DoBeforeNavigate2(IDispatch(dps.rgvarg^[pDispIds^[0]].dispval),

              POleVariant(dps.rgvarg^[pDispIds^[1]].pvarval)^,

              POleVariant(dps.rgvarg^[pDispIds^[2]].pvarval)^,

              POleVariant(dps.rgvarg^[pDispIds^[3]].pvarval)^,

              POleVariant(dps.rgvarg^[pDispIds^[4]].pvarval)^,

              POleVariant(dps.rgvarg^[pDispIds^[5]].pvarval)^,

              dps.rgvarg^[pDispIds^[6]].pbool^);

        end;

      253://OnQuit事件ID

        begin

          FCP.Unadvise(FCookie);

        end;

    else

      Result := DISP_E_MEMBERNOTFOUND;

    end;

  finally

    if (bHasParams) then

      FreeMem(pDispIds, iDispIdsSize);

  end;

end;

在Invoke方法中，Params参数包含了被激发的事件包含的参数的数目以及参数的值，而BuildPositionalDispIds 则从Params参数中提取参数值，并放到数组中，然后在BeforeNavigate2事件中，调用DoBeforeNavigate2过程对事件进行处理，事件参数作为过程参数被传递过去，下面是具体禁止弹出网页的DoBeforeNavigate2的处理过程：

procedure TTIEAdvBHO.DoBeforeNavigate2(const pDisp: IDispatch; var URL,

  Flags, TargetFrameName, PostData, Headers: OleVariant;

  var Cancel: WordBool);

begin

  if FIE.ToolBar=0 then FIE.Quit;

end;

在过程中，首先，调用IWebBrowser2接口的Toolbar属性判断页面是否有工具条，如果没有，则调用IE的退出方法关闭弹出窗口。另外在Invoke中还在OnQuit事件激发时，调用事件连接点的UnAdvise方法，断开事件监听。

注册扩展

注册扩展非常简单，只要在注册表中关键字HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion \explorer\Browser Helper Objects\下添加值为扩展的Guid的字符串形式的下级关键字就可以了。

type

  TIEAdvBHOFactory = class(TComObjectFactory)

  public

    procedure UpdateRegistry(Register: Boolean); override;

  end;

{ TIEAdvBHOFactory }

procedure TIEAdvBHOFactory.UpdateRegistry(Register: Boolean);

begin

  inherited;

  if Register then

    CreateRegKeyValue(HKEY_LOCAL_MACHINE, 'Software\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\' 
                      + GuidToString(ClassID), '', '')

  else

    DeleteRegKeyValue(HKEY_LOCAL_MACHINE, 'Software\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\' 
                      + GuidToString(ClassID), '');

end;

initialization

  TIEAdvBHOFactory.Create(ComServer, TTIEAdvBHO, Class_TIEAdvBHO,

    'TIEAdvBHO', '', ciMultiInstance, tmApartment);

end.

注册扩展后，打开浏览器浏览新浪网站(http://www.sina.com.cn)，你会发现平时讨厌的弹出广告窗口都消失了。

桂湖山 2011-09-07 18:09 发表评论

获得windowxp desktop hwnd

桂湖山 — Fri, 21 Jan 2011 08:54:00 GMT

确切地讲，Desktop Window包含一个无标题的、类名为“SHELLDLL_DefView”的子窗口，这个字窗口又包含一个无标题的、类名为“SysListView32”的子窗口——这才是那个真正包含桌面图标的窗口。

桂湖山 2011-01-21 16:54 发表评论

CAsyncSocket，CSocket内幕及其用法

桂湖山 — Sat, 19 Jul 2008 09:35:00 GMT

CAsyncSocket，CSocket内幕及其用法

〖文章转载或出处〗≡中国电子技术信息网≡ 网址：www.CETINet.com

Socket API，CAsyncSocket，CSocket内幕及其用法
jmcooler（原作）

关键字     Socket CAsyncSocket CSocket CSocketFile 同步(阻塞) 异步(非阻塞)


    Socket有同步阻塞方式和异步非阻塞方式两种使用，事实上同步和异步在我们编程的生涯中可能遇到了很多，而Socket也没什么特别。虽然同步好用，不费劲，但不能满足一些应用场合，其效率也很低。
     也许初涉编程的人不能理解“同步(或阻塞)”和“异步(或非阻塞)”，其实简单两句话就能讲清楚，同步和异步往往都是针对一个函数来说的，“同步”就是函数直到其要执行的功能全部完成时才返回，而“异步”则是，函数仅仅做一些简单的工作，然后马上返回，而它所要实现的功能留给别的线程或者函数去完成。例如，SendMessage就是“同步”函数，它不但发送消息到消息队列，还需要等待消息被执行完才返回；相反PostMessage就是个异步函数，它只管发送一个消息，而不管这个消息是否被处理，就马上返回。

一、Socket API
     首先应该知道，有Socket1.1提供的原始API函数，和Socket2.0提供的一组扩展函数，两套函数。这两套函数有重复，但是2.0提供的函数功能更强大，函数数量也更多。这两套函数可以灵活混用，分别包含在头文件Winsock.h，Winsock2.h，分别需要引入库 wsock32.lib、Ws2_32.lib。

1、默认用作同步阻塞方式，那就是当你从不调用WSAIoctl()和 ioctlsocket()来改变Socket IO模式，也从不调用WSAAsyncSelect()和WSAEventSelect()来选择需要处理的Socket事件。正是由于函数accept()，WSAAccept()，connect()，WSAConnect()，send()， WSASend()，recv()，WSARecv()等函数被用作阻塞方式，所以可能你需要放在专门的线程里，这样以不影响主程序的运行和主窗口的刷新。
2、如果作为异步用，那么程序主要就是要处理事件。它有两种处理事件的办法：
    第一种，它常关联一个窗口，也就是异步Socket的事件将作为消息发往该窗口，这是由WinSock扩展规范里的一个函数WSAAsyncSelect()来实现和窗口关联。最终你只需要处理窗口消息，来收发数据。
   第二种，用到了扩展规范里另一个关于事件的函数WSAEventSelect()，它是用事件对象的方式来处理Socket事件，也就是，你必须首先用 WSACreateEvent()来创建一个事件对象，然后调用WSAEventSelect()来使得Socket的事件和这个事件对象关联。最终你将要在一个线程里用WSAWaitForMultipleEvents()来等待这个事件对象被触发。这个过程也稍显复杂。
二、CAsyncSocket
     看类名就知道，它是一个异步非阻塞Socket封装类，CAsyncSocket::Create()有一个参数指明了你想要处理哪些Socket事件，你关心的事件被指定以后，这个Socket默认就被用作了异步方式。那么CAsyncSocket内部到底是如何将事件交给你的呢？
    CAsyncSocket 的Create()函数，除了创建了一个SOCKET以外，还创建了个CSocketWnd窗口对象，并使用WSAAsyncSelect()将这个 SOCKET与该窗口对象关联，以让该窗口对象处理来自Socket的事件(消息)，然而CSocketWnd收到Socket事件之后，只是简单地回调 CAsyncSocket::OnReceive()，CAsyncSocket::OnSend()，CAsyncSocket::OnAccept ()，CAsyncSocket::OnConnect()等虚函数。所以CAsyncSocket的派生类，只需要在这些虚函数里添加发送和接收的代码。

  简化后，大致的代码为：
  bool CAsyncSocket::Create( long lEvent ) file://参/数lEvent是指定你所关心的Socket事件
  {
   m_hSocket = socket( PF_INET, SOCK_STREAM, 0 ); file://创/建Socket本身

   CSocketWnd* pSockWnd = new CSocketWnd; file://创/建响应事件的窗口，实际的这个窗口在AfxSockInit()调用时就被创建了。
   pSockWnd->Create(...);

   WSAAsyncSelect( m_hSocket, pSockWnd->m_hWnd, WM_SOCKET_NOTIFY, lEvent ); file://Socket/事件和窗口关联
  }

  static void PASCAL CAsyncSocket::DoCallBack(WPARAM wParam, LPARAM lParam)
  {
   CAsyncSocket Socket;
   Socket.Attach( (SOCKET)wParam ); file://wParam/就是触发这个事件的Socket的句柄
   int nErrorCode = WSAGETSELECTERROR(lParam); file://lParam/是错误码与事件码的合成
   switch (WSAGETSELECTEVENT(lParam))
   {
   case FD_READ:
    pSocket->OnReceive(nErrorCode);
    break;
   case FD_WRITE:
    pSocket->OnSend(nErrorCode);
    break;
   case FD_OOB:
    pSocket->OnOutOfBandData(nErrorCode);
    break;
   case FD_ACCEPT:
    pSocket->OnAccept(nErrorCode);
    break;
   case FD_CONNECT:
    pSocket->OnConnect(nErrorCode);
    break;
   case FD_CLOSE:
    pSocket->OnClose(nErrorCode);
    break;
   }
  }

  CSocketWnd类大致为：

  BEGIN_MESSAGE_MAP(CSocketWnd, CWnd)
   ON_MESSAGE(WM_SOCKET_NOTIFY, OnSocketNotify)
  END_MESSAGE_MAP()

  LRESULT CSocketWnd::OnSocketNotify(WPARAM wParam, LPARAM lParam)
  {
   CAsyncSocket::DoCallBack( wParam, lParam ); file://收/到Socket事件消息，回调CAsyncSocket的DoCallBack()函数
   return 0L;
  }

   然而，最不容易被初学Socket编程的人理解的，也是本文最要提醒的一点是，客户方在使用CAsyncSocket::Connect()时，往往返回一个WSAEWOULDBLOCK的错误(其它的某些函数调用也如此)，实际上这不应该算作一个错误，它是Socket提醒我们，由于你使用了非阻塞 Socket方式，所以(连接)操作需要时间，不能瞬间建立。既然如此，我们可以等待呀，等它连接成功为止，于是许多程序员就在调用Connect()之后，Sleep(0)，然后不停地用WSAGetLastError()或者CAsyncSocket::GetLastError()查看Socket 返回的错误，直到返回成功为止。这是一种错误的做法，断言，你不能达到预期目的。事实上，我们可以在Connect()调用之后等待 CAsyncSocket::OnConnect()事件被触发，CAsyncSocket::OnConnect()是要表明Socket要么连接成功了，要么连接彻底失败了。至此，我们在CAsyncSocket::OnConnect()被调用之后就知道是否Socket连接成功了，还是失败了。
  类似的，Send()如果返回WSAEWOULDBLOCK错误，我们在OnSend()处等待，Receive()如果返回WSAEWOULDBLOCK错误，我们在OnReceive()处等待，以此类推。
  还有一点，也许是个难点，那就是在客户方调用Connect()连接服务方，那么服务方如何Accept()，以建立连接的问题。简单的做法就是在监听的Socket收到OnAccept()时，用一个新的CAsyncSocket对象去建立连接，例如：

void CMySocket::OnAccept( int ErrCode )
{
       CMySocket* pSocket = new CMySocket;
       Accept( *pSocket );
}
     于是，上面的pSocket和客户方建立了连接，以后的通信就是这个pSocket对象去和客户方进行，而监听的Socket仍然继续在监听，一旦又有一个客户方要连接服务方，则上面的OnAccept()又会被调用一次。当然pSocket是和客户方通信的服务方，它不会触发OnAccept()事件，因为它不是监听Socket。

三、CSocket
   CSocket是MFC在CAsyncSocket基础上派生的一个同步阻塞Socket的封装类。它是如何又把CAsyncSocket变成同步的，而且还能响应同样的Socket事件呢？
   其实很简单，CSocket在Connect()返回WSAEWOULDBLOCK错误时，不是在OnConnect()，OnReceive()这些事件终端函数里去等待。你先必须明白Socket事件是如何到达这些事件函数里的。这些事件处理函数是靠CSocketWnd窗口对象回调的，而窗口对象收到来自Socket的事件，又是靠线程消息队列分发过来的。总之，Socket事件首先是作为一个消息发给CSocketWnd窗口对象，这个消息肯定需要经过线程消息队列的分发，最终CSocketWnd窗口对象收到这些消息就调用相应的回调函数(OnConnect()等)。
   所以， CSocket在调用Connect()之后，如果返回一个WSAEWOULDBLOCK错误时，它马上进入一个消息循环，就是从当前线程的消息队列里取关心的消息，如果取到了WM_PAINT消息，则刷新窗口，如果取到的是Socket发来的消息，则根据Socket是否有操作错误码，调用相应的回调函数(OnConnect()等)。
  大致的简化代码为：

  BOOL CSocket::Connect( ... )
  {
   if( !CAsyncSocket::Connect( ... ) )
   {
    if( WSAGetLastError() == WSAEWOULDBLOCK ) file://由/于异步操作需要时间，不能立即完成，所以Socket返回这个错误
    {
     file://进/入消息循环，以从线程消息队列里查看FD_CONNECT消息，直到收到FD_CONNECT消息，认为连接成功。
     while( PumpMessages( FD_CONNECT ) );
    }
   }
  }
  BOOL CSocket::PumpMessages( UINT uEvent )
  {
      CWinThread* pThread = AfxGetThread();
      while( bBlocking ) file://bBlocking/仅仅是一个标志，看用户是否取消对Connect()的调用
      {
          MSG msg;
          if( PeekMessage( &msg, WM_SOCKET_NOTIFY ) )
          {
             if( msg.message == WM_SOCKET_NOTIFY && WSAGETSELECTEVENT(msg.lParam) == uStopFlag )
             {
                 CAsyncSocket::DoCallBack( msg.wParam, msg.lParam );
                 return TRUE;
             }
         }
         else
        {
             OnMessagePending(); file://处/理消息队列里的其它消息
             pThread->OnIdle(-1);
        }
     }
  }
  BOOL CSocket::OnMessagePending()
  {
      MSG msg;
       if( PeekMessage( &msg, NULL, WM_PAINT, WM_PAINT, PM_REMOVE ) )
       { file://这/里仅关心WM_PAINT消息，以处理阻塞期间的主窗口重画
           ::DispatchMessage( &msg );
           return FALSE;
       }
       return FALSE;
  }

    其它的CSocket函数，诸如Send()，Receive()，Accept()都在收到WSAEWOULDBLOCK错误时，进入 PumpMessages()消息循环，这样一个原本异步的CAsyncSocket，到了派生类CSocket，就变成同步的了。
  明白之后，我们可以对CSocket应用自如了。比如有些程序员将CSocket的操作放入一个线程，以实现多线程的异步Socket(通常，同步+多线程相似于异步 )。

四、CSocketFile
   另外，进行Socket编程，不能不提到CSocketFile类，其实它并不是用来在Socket双方发送文件的，而是将需要序列化的数据，比如一些结构体数据，传给对方，这样，程序的CDocument()的序列化函数就完全可以和CSocketFile联系起来。例如你有一个CMyDocument 实现了Serialize()，你可以这样来将你的文档数据传给Socket的另一方：

CSocketFile file( pSocket );
CArchive ar( &file, CArchive::store );
pDocument->Serialize( ar );
ar.Close();

  同样，接收一方可以只改变上面的代码为CArchive ar( &file, CArchive::load );即可。
    注意到，CSocketFile类虽然从CFile派生，但它屏蔽掉了CFile::Open()等函数，而函数里仅扔出一个例外。那么也就是说，你不能调用CSocketFile的Open函数来打开一个实实在在的文件，否则会导致例外，如果你需要利用CSocketFile来传送文件，你必须提供 CSocketFile类的这些函数的实现。
  再一点，CArchive不支持在datagram的Socket连接上序列化数据

桂湖山 2008-07-19 17:35 发表评论

利用远程线程来进行DLL注入

桂湖山 — Wed, 16 Jan 2008 14:54:00 GMT

这种方法同前一种方法相比，要显得复杂一些，并且这种方法只能在WIN2000中使用（XP，和最新的2003不知道）。具体步骤如下：

１）、取得远程进程的进程ID；

２）、在远程进程空间中分配一段内存用来存放要注入的DLL完整路径；

３）、将要注入的DLL的路径写到刚才分配的远程进程空间；

４）、从Kernel32.dll中取得LoadLibray的地址；

５）、调用CreateRemoteThread函数以从Kernel32.dll中取得的LoadLibrary函数的地址为线程函数的地址，以我们要注入的DLL文件名为参数，创建远程线程；

在第二三步中，为什么要把我们要注入的DLL的文件名写到远程进程的地址空间进行操作，《WINDOWS核心编程》中是这样描述的：

“（要注入的DLL文件名）字符串是在调用进程的地址空间中。该字符串的地址已经被赋予新创建的远程线程，该线程将它传递给L o a d L i b r a r y A。但是，当L o a d L i b r a r y A取消对内存地址的引用时， D L L路径名字符串将不再存在，远程进程的线程就可能引发访问违规”；

至于第四步中为什么不直接对LoadLibrary进行调用，《WINDOWS核心编程》中是这样描述的：

“如果在对C r e a t e R e m o t e T h r e a d的调用中使用一个对L o a d L i b r a r y A的直接引用，这将在你的模块的输入节中转换成L o a d L i b r a r y A的形实替换程序的地址。将形实替换程序的地址作为远程线程的起始地址来传递，会导致远程线程开始执行一些令人莫名其妙的东西。其结果很可能造成访问违规。”

另：

DLL注入的步骤

1。在受害进程中为DLL代码分配要占据的空间。
用到的函数：VirtualAllocEx

2。在受害进程中为要注入的DLL所需的参数分配空间。
用到的函数：VirtualAllocEx

3。把DLL的名字和代码写入受害进程的存储空间。
用到的函数：WriteProcessMemory

4。在受害进程中创建线程，运行新注入的DLL。
用到的函数：CreateRemoteThread

5。释放受害进程中的资源。
用到的函数：VirtualFreeEx

//sample
#include Dzm?锷w?
#include ?鵾 :.禔
#include lY篼rc柲v?
// DLL注入函数 ?W黲?銷
bool LoadLib(DWORD dwProcessId, LPWSTR lpszLibName) =孔觧f镏J
{ 焿t瞵醞
HANDLE hProcess = NULL; ?7?箨W?
HANDLE hThread = NULL; /?G#q腱Y
LPWSTR lpszRemoteFile = NULL; i缘?碫9?
諥?堃櫛
t~,?叮
// 打开远程进程 `2?q駉f
hProcess = OpenProcess(PROCESS_CREATE_THREAD eO`;*?=?
| PROCESS_VM_OPERATION 綂?咧v??
| PROCESS_VM_WRITE, ?{瘐?高
FALSE, 陾?柺&荗w
dwProcessId); 浙?(v
w??S甗J?
if (hProcess == NULL) 鑉?>Y祽?
{ 垺|}=Z肬_
MessageBox(NULL, "OpenProcess failed with error " , "Error", ?珚綛:
MB_ICONINFORMATION + MB_OK); )b禸齲;u
return FALSE; ]嘢W?缣
} 户喯?椱m?
?睟諗倝?
訬E)￥梥?
// 在远程进程中分配存贮DLL文件名的空间庿}忸丁!
lpszRemoteFile = (LPWSTR)VirtualAllocEx(hProcess, NULL, 1闎u;P?茒
sizeof(WCHAR) * lstrlenW(lpszLibName) + 1, _tH硎娾]
MEM_COMMIT, PAGE_READWRITE);
if (lpszRemoteFile == NULL) 徇??笯l*
{ (SNX~[70
MessageBox(NULL, "VirtualAllocEx failed with error " , "Error", 囖沒何M??
MB_ICONINFORMATION + MB_OK); ?眖ir?
return FALSE; 龝H﹢湷?
} 巙碋κm7巇
幚w薦?H
// 复制DLL文件名到远程刚分配的进程空间 QH洐迦?
if (!WriteProcessMemory(hProcess, lpszRemoteFile, ?鈷坘侄煝
(PVOID)lpszLibName, sizeof(WCHAR) * lstrlenW(lpszLibName) + 1, ?钍禵绚?
NULL)) P+??滁
{ E耦??C'?
MessageBox(NULL, "WriteProcessMemory failed with error " , "Error", p`j$潀1
MB_ICONINFORMATION + MB_OK); ?鮑征?
return FALSE; ?etXF?%M
} 01?熜?鑴
// 取得LoadLibrary函数在Kennel32.dll中的地址 _雨B芰?
PTHREAD_START_ROUTINE pfnThreadRtn = 'k1汕
(PTHREAD_START_ROUTINE)GetProcAddress( j澇x竳俘?
GetModuleHandle("Kernel32.dll"),"LoadLibraryW"); E?涽gm埳?
if (pfnThreadRtn == NULL) 伓ZC騷远?
{ >痥T ◣g?
MessageBox(NULL, "GetProcAddress failed with error " , "Error", y 广篋狤?
MB_ICONINFORMATION + MB_OK); MqQ?? }
return FALSE; A?`|9欛
} e?&嘄 ^?
// 创建远程线程 c,0髛jgeJ
hThread = CreateRemoteThread(hProcess, `剎^D鯩??
NULL, Ar鹼DH貂 ?
0, #W?枊R柑
pfnThreadRtn, // LoadLibrary地址胭mG榍??
lpszRemoteFile, // 要加载的DLL名楖8資啱
0, ?I挷?腺?
NULL); 熿騒I<簀?
if (hThread == NULL) 撪?殥?v?
{ }教z >?
MessageBox(NULL, "CreateRemoteThread failed with error " , "Error", 靁嘽g授G
MB_ICONINFORMATION + MB_OK); ? 4復?
return FALSE; .k钄z5.S
} m袁鹯?Z?
躎?b|钍
// 等待线程返回媣l\\厝I0
WaitForSingleObject(hThread, INFINITE); 屰騉-7@e?
検蓮~R灔
// 释放进程空间中的内存 ?跑+e脌
VirtualFreeEx(hProcess, lpszRemoteFile, 0, MEM_RELEASE); 摶"汊驄&?
// 关闭句柄钡領?荴
CloseHandle(hThread); ?蚊ˉ?
CloseHandle(hProcess); ?G.矽庉N
return TRUE; ZCu尢5賆
} 90??嫫蟄
螨^rn`+v膼
void main() J癋赖澝?
{ 嫟g賜jG??
LPWSTR m_szDllFile = L"D:\\FileHook\\APIHook_Dll\\Debug\\APIHook_Dll.dll"; ?k2R脽忮
DWORD m_dwProcessId = 0; }Υofe介?
PROCESSENTRY32 pe; 蝷?掆
// 创建快照句柄 pT唓虌赦⊿
HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); 葺?M櫍M
// 先搜索系统中第一个进程的信息 cG嫕l詻翘?
Process32First(hSnapshot, &pe); q杴5?Y?
// 下面对系统中的所有进程进行枚举，并保存其信息 _m?]5椃t
do{ FMJ?
if(strcmp(pe.szExeFile,"explorer.exe") == 0 ) h? |VH?
F塠昷籛^
{ 彞€?T胉eF
m_dwProcessId =pe.th32ProcessID; m災滑磁A?
break; /?漌2n?
} O??拻懠?
} 5謣軇旽j
while (Process32Next(hSnapshot, &pe)); M_:娌_樆?
// 关闭快照句柄 w?E眳
CloseHandle(hSnapshot); 鐭ㄘ碲ш潰
LoadLib(m_dwProcessId, m_szDllFile); ?8Y旡X苽{
} 唜#B鮘
?i淪渧"f?

桂湖山 2008-01-16 22:54 发表评论

ogre3d manual

桂湖山 — Thu, 26 Jul 2007 14:54:00 GMT

http://www.ogre3d.org/docs/manual/manual_toc.html#SEC_Contents

桂湖山 2007-07-26 22:54 发表评论

Windows 2000 中的有用进程

桂湖山 — Fri, 20 Jul 2007 10:08:00 GMT

Windows 2000/XP 的任务管理器是一个非常有用的工具，它能提供我们很多信息，比如现在系统中运行的程序（进程），但是面对那些文件可执行文件名我们可能有点茫然，不知道它们是做什么的，会不会有可疑进程（病毒，木马等）。本文的目的就是提供一些常用的Windows 2000 中的进程名，并简单说明它们的用处。

在 WINDOWS 2000 中,系统包含以下缺省进程：
Csrss.exe
Explorer.exe
Internat.exe
Lsass.exe
Mstask.exe
Smss.exe
Spoolsv.exe
Svchost.exe
Services.exe
System
System Idle Process
Taskmgr.exe
Winlogon.exe
Winmgmt.exe

下面列出更多的进程和它们的简要说明
进程名描述
smss.exe Session Manager
csrss.exe 子系统服务器进程
winlogon.exe 管理用户登录
services.exe 包含很多系统服务
lsass.exe 管理IP安全策略以及启动ISAKMP/Oakley(IKE)和IP安全驱动程序
svchost.exe Windows 2000/XP 的文件保护系统
SPOOLSV.EXE 将文件加载到内存中以便迟后打印
explorer.exe 资源管理器
internat.exe 托盘区的拼音图标
mstask.exe 允许程序在指定时间运行。
regsvc.exe 允许远程注册表操作。(系统服务)->remoteregister
winmgmt.exe 提供系统管理信息(系统服务)
inetinfo.exe msftpsvc,w3svc,iisadmn
tlntsvr.exe tlnrsvr
tftpd.exe     实现 TFTP Internet 标准。该标准不要求用户名和密码
termsrv.exe     termservice
dns.exe     应答对域名系统(DNS)名称的查询和更新请求
tcpsvcs.exe     提供在PXE可远程启动客户计算机上远程安装2000 Professional的能力
ismserv.exe     允许在 Windows Advanced Server 站点间发送和接收消息
ups.exe     管理连接到计算机的不间断电源(UPS)
wins.exe     为注册和解析 NetBIOS 型名称的TCP/IP客户提供NetBIOS名称服务
llssrv.exe     证****录服务
ntfrs.exe     在多个服务器间维护文件目录内容的文件同步
RsSub.exe     控制用来远程储存数据的媒体
locator.exe     管理 RPC 名称服务数据库
lserver.exe     注册客户端许可证
dfssvc.exe     管理分布于局域网或广域网的逻辑卷
clipsrv.exe     支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面
msdtc.exe     并列事务，是分布于两个以上的数据库，消息队列，文件系统或其它事务保护护资源管理器。
faxsvc.exe     帮助您发送和接收传真。
cisvc.exe     索引服务
madmin.exe      磁盘管理请求的系统管理服务。
mnmsrvc.exe     允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。
netdde.exe     提供动态数据交换 (DDE) 的网络传输和安全特性。
smlogsvc.exe    配置性能日志和警报。
rsvp.exe     为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功功能。
RsEng.exe     协调用来储存不常用数据的服务和管理工具。
RsFsa.exe     管理远程储存的文件的操作。
grovel.exe     扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间(只对NTFS文件系统有用)
SCardSvr.ex     对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。
snmp.exe     包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。
snmptrap.exe    接收由本地或远程SNMP代理程序产生的陷阱(trap)消息，然后将消息传递到运行在这台计算机上 SNMP 管理程序。
UtilMan.exe     从一个窗口中启动和配置辅助工具。
msiexec.exe     依据.MSI文件中包含的命令来安装、修复以及删除软件。

总结：发现可疑进程的秘诀就是要多看任务管理器中的进程列表，看多了以后，一眼就可以发现可可疑进程，就象找一群熟悉人中的陌生人一样

桂湖山 2007-07-20 18:08 发表评论

windows 中的无用的服务

桂湖山 — Fri, 20 Jul 2007 09:05:00 GMT

　　我们使用电脑时经常会碰到各种各样的问题，比如在网上邻居中看不到其他的“网友”、无法正常上网、电脑关机速度变慢等等，在尝试了各种方法还没有解决时，不妨到“控制面板→管理工具→服务”中“打探”一番，没准就能找到故障的根源。

　　1. Computer Browser

　　这个服务主要用于维护网上邻居中计算机的最新列表，其中包括基于Windows的域、工作组的计算机，还有其他使用NetBIOS协议的网络设备。“网上邻居”显示的内容正是来源于此，Computer Browser服务会将这个列表通知给请求的程序。如果你在“网上邻居”看不到其他电脑，很可能是这个服务没有开启。笔者建议个人用户将其设置为“已禁用”，局域网用户应设置为“自动”。

　　2. Event Log

　　这个服务会将程序和系统发送的出错消息记录到日志中，其中会包含对诊断问题有所帮助的信息。一般情况下，禁用这个服务并不会有什么问题，但有时很可能会导致几个与网络有关的服务无法启动，并出现无法拨号上网的现象。如果需要上网或是处于局域网中的用户，笔者建议将其设置为“自动”。

　　3. IMAPI CD-Burning COM Service

　　Windows XP刻录服务，可以让你通过拖放文件进行光盘刻录。同时，一些与刻录相关的软件也会用到这个服务，比如:Windows Media Player等。不过，如果你使用Nero作为默认的刻录软件，在开启这个服务后，Nero的运行速度会受影响。如果使用Nero，笔者建议将其设置为 “已禁用”，这样会提高Nero的运行速度。

　　4. Shell Hardware Detection

　　用于支持闪存、各种记忆卡、光驱等设备的自动播放，如果你的笔记本电脑在使用这个服务后，出现一些问题，或者在“我的电脑”中看不到DVD光驱、光驱自动运行出现问题等，笔者建议将其设置为“自动”。

　　5. ATi HotKey Poller

　　这是ATi显卡驱动程序的服务，用来管理ATi驱动程序所附带的热键功能，不过大部分用户并不需要。同时，这个服务不仅会占用相当多的CPU资源，同时还导致关机速度变慢，笔者建议将其设置为“已禁用”。

　　6. Nvidia Driver Helper Service

　　这个服务是安装NVIDIA显卡驱动程序后生成的服务，尽管我们并不太清楚它的作用到底是什么，但起码知道，一些关机慢的故障是由它引起的，同时它还占用了不少内存资源。笔者建议将其设置为“已禁用”。

　　7. O&O Defrag

　　这是磁盘整理软件O&O Defrag的即时检测服务，它能自动监视磁盘使用情况，并在需要整理磁盘，而且系统处于空闲状态时自动启动。不少朋友可能会遇到启动O&O Defrag时，出现错误提示，无法运行软件。其实，只要先进入“服务”窗口，选中“O&O Defrag”服务，接着单击工具栏中的启动服务按钮将其启动起来，然后再运行软件即可。因此，如果遇到某个软件无法运行，除检查软件本身外，最好到“服务”中查一查。笔者建议将其设置为“自动”。

桂湖山 2007-07-20 17:05 发表评论

了解svchost

桂湖山 — Fri, 20 Jul 2007 07:54:00 GMT

svchost.exe是NT核心系统非常重要的文件，对于Win2000/XP来说，不可或缺。这些svchost进程提供很多系统服务，如： rpcss服务（remote procedure call）、dmserver服务（logical disk manager）、dhcp服务（dhcp client）等等。

如果要了解每个svchost进程到底提供了多少系统服务，可以在WinXP的命令提示符窗口中输入“tasklist /svc”命令来查看。
一般来说，Win2000有两个SVCHOST进程，WinXP中则有四个或四个以上的SVCHOST进程（以后看到系统中有多个这种进程，千万别立即判定系统有病毒了哟），而Win2003 server中则更多。这些SVCHOST进程提供很多系统服务，如：RpcSs服务（Remote Procedure Call）、dmserver服务（Logical Disk Manager）、Dhcp服务（DHCP Client）等。

HKEY_LOCAL_MACHINE\System\currentcontrolset\services\Remote Registry”

桂湖山 2007-07-20 15:54 发表评论