给Source Insight做个外挂系列之四－－分析“Source Insight”

外挂的目的就是将代码注入到其它进程中，所以必须要有目标进程才能完成注入，而所谓的目标进程通常是某软件的一部分或者是全部，所以要对目标程序有深入地了解。一般外挂都是针对某个应用程序开发的，其装载、运行都依赖于宿主进程提供的环境，如果“挂”错了，后果很严重。有一些软件运行时会启动多个进程，每个进程完成各自的任务，所以要分清到底应该“挂”哪个进程，好在“Source Insight”比较简单，所有的功能都在一个进程中完成，分析起来比较简单。

要给“Source Insight”加一个用于文件切换的标签栏，就要对“Source Insight”的窗口体系进行深入研究，因为文件切换体现在“Source Insight”的界面上就是窗口的切换。除此之外，还要研究窗口之间的消息流向，这样的工具要首推“Spy++”。“Spy++”工具是Viausl Studio的一部分，我们先用它来看看“Source Insight”程序的窗口层次结构，首先是主框架窗口，也就是整个界面最外层（最大）的那个窗口，如下图所示：

图4.1 Source Insight的主窗口

主窗口的class name是“si_Frame”，这是一个好兆头，这说明“Source Insight”程序有固定的主框架窗口class name，TabSiPlus就是根据主框架窗口的class name识别“Source Insight”的。其实要标签化一个多文档界面的窗口系统，最重要的是找到子框架窗口以及子框架窗口的宿主，也就是子框架窗口的父窗口。通常这个窗口并不是主框架窗口，而是主框架窗口的一个子窗口，这个子窗口和Toolabr或Rebar窗口一样，不同之处在于它既不靠顶，也不靠边，它只是占据主框架窗口的整个客户区。现在就看看“Source Insight”的子框架窗口的宿主窗口是怎么回事，首先关闭所有文档，也就是关闭全部子框架窗口，然后拖着“Spy++”的瞄准星到处找，找啊找，就是这个：

图4.2 MDI Client窗口

注意到它的class name了吗？是的，它的窗口class name是“MDIClient”，熟悉Windows的程序员都知道，这就是windows的标准多文档窗口界面，这很令人振奋，要记住这个名字，因为我们的外挂就是通过Hook这个窗口来控制文件标签的。接下来是研究子框架窗口，打开一个子窗口，不要最大化，然后用“Spy++”的瞄准星慢慢看：

图4.3 Source Insight的子窗口

原来它的class name是“si_Sw”，它还有很多子窗口，不过不在我们关心之列，重要的就是这个class name，因为“TabSiPlus”只Hook这个子框架窗口。

找到这些窗口之后，就需要研究这些窗口之间的消息了，考虑到文件切换标签栏的行为，比如当用户点击一个标签的时候要激活对应的子框架窗口，再比如当用户通过其它方式切换一个窗口的时候（比如使用快捷键或Window菜单），需要标签栏能够作出相应的更新动作，还有就是窗口的创建和销毁（对用操作是打开和关闭文件），所以要重点关注的几个消息是窗口创建，销毁，窗口激活，窗口去激活等等，如下图所示设定消息Filter：

图4.4 消息过滤设置

然后激活这个子框架窗口，可以看到有一个WM_MDIACTIVE消息：

图4.5 MDI消息流动情况

通过解析消息参数就能得到窗口句柄，再通过窗口句柄和标签之间的关系（这个关系由我们的外挂自己维护，关于TabSiPlus内部细节将在下篇介绍）更新相应的标签。同样的方法，Hook WM_MDICREATE和WM_MDIDESTROY可以感知到窗口的创建和销毁，据此可以添加一个标签或删除一个标签。当用户激活某个标签的时候，通过模拟发送相应的消息使窗口能够具有相应的行为，这一部分就是标签外挂的重点。

通过上面的研究，我们来总结一下具有哪些资质的程序才能应用标签窗口外挂，首先，主窗口要有固定的class name或窗口标题格式，有固定的class name这一点不是必须的，可以通过其它方式找到宿主程序的主窗口，但是窗口标题的格式十分重要，因为在无法获得宿主程序内部数据结构的情况下，只能通过分析窗口标题来获知窗口对应的文件名称。其次是应用程序要是标准的Windows多文档界面，虽然从理论上讲所有拥有固定客户区窗口class name和子窗口class name的窗口体系都可以使用TabSiPlus使用的技术，但是对于标准的Windows多文档界面程序，有很多标准的窗口消息可以利用（例如MDICHILD_ACTIVE,MDICHILD_DESTROY等等），能给功能开发带来更多的便利。最后是用于显示文件的子窗口要有固定的class name。“Source Insight”很好地满足了这些条件，所以“TabSiPlus”就出现了。

至此，所有有关“TabSiPlus”的外部情况（包括如何找到“Source Insight”，如何装载外挂动态链接库等等）都介绍完了，本系列的下一篇讲深入“TabSiPlus”的内部，详细讲解注入到宿主程序中的代码是如何工作的，下下篇（可能是最后一篇）会对本文发表过程中读者提到的一些感兴趣的问题进行解答，如果你能耐着性子读完最后一篇文章，会有一个惊喜等待着你，猜猜会是什么？

Source Insignt文件标签外挂：TabSiPlus的下载地址：
http://www.winmsg.com/download/tabsiplus.zip