消息机制与窗口过程：Windows消息循环、窗口过程函数、子类化与超类化的逆向分析

聊到Windows逆向，消息机制是绕不开的坎。我个人觉得，搞懂消息循环和窗口过程，就像拿到了理解Windows GUI程序的钥匙。你想想看，一个窗口从创建到销毁，背后全是消息在驱动。今天我就带你从逆向的角度，把这些东西掰开揉碎了讲清楚。

一、Windows消息循环：程序的心脏

每个GUI程序都有一个消息循环。说白了，就是一个死循环，不停地从消息队列里取消息，然后分发出去。我刚开始逆向时，总在反汇编里找这个循环，后来发现它其实有固定的模式。

典型的消息循环代码长这样：

MSG msg;
while (GetMessage(&msg, NULL, 0, 0))
{
    TranslateMessage(&msg);
    DispatchMessage(&msg);
}

逆向时，你会在反汇编里看到GetMessageW或GetMessageA的调用。注意，GetMessage返回0时循环结束——这对应的是WM_QUIT消息。嗯，这里要注意：PeekMessage是另一个常用函数，它不会阻塞，常用于游戏循环。

二、窗口过程函数：消息的终点站

消息被DispatchMessage分发后，最终会到达窗口过程函数。这个函数是用户自定义的，处理各种消息。逆向分析时，找到这个函数是关键。

窗口过程的签名是固定的：

LRESULT CALLBACK WindowProc(HWND hwnd, UINT uMsg, WPARAM wParam, LPARAM lParam)
{
    switch (uMsg)
    {
        case WM_DESTROY:
            PostQuitMessage(0);
            return 0;
        case WM_PAINT:
            // 绘制代码
            return 0;
        default:
            return DefWindowProc(hwnd, uMsg, wParam, lParam);
    }
}

逆向时，我习惯先找DefWindowProc的调用。因为每个窗口过程最后都会调用它处理默认消息。从DefWindowProc往上回溯，就能找到switch结构。我曾经在分析一个恶意软件时，发现它把关键逻辑藏在WM_TIMER消息里，而不是常见的WM_COMMAND，差点漏掉。

三、子类化：劫持窗口行为

子类化，说白了就是替换窗口的过程函数。你可以在运行时，把一个窗口的默认过程换成你自己的。这在逆向中很常见——恶意软件经常用这招来hook系统控件。

子类化的核心API是SetWindowLongPtr：

// 保存原窗口过程
WNDPROC oldProc = (WNDPROC)SetWindowLongPtr(hwnd, GWLP_WNDPROC, (LONG_PTR)NewWindowProc);

// 新窗口过程
LRESULT CALLBACK NewWindowProc(HWND hwnd, UINT uMsg, WPARAM wParam, LPARAM lParam)
{
    if (uMsg == WM_LBUTTONDOWN)
    {
        // 劫持鼠标点击
        return 0;
    }
    return CallWindowProc(oldProc, hwnd, uMsg, wParam, lParam);
}

逆向时，看到SetWindowLongPtr调用，就要警惕了。我曾经在分析一个键盘记录器时，发现它子类化了编辑框的窗口过程，在WM_CHAR消息里偷偷记录按键。嗯，这种手法现在依然很流行。

四、超类化：全局劫持

超类化比子类化更狠。它创建一个新的窗口类，继承原有类的行为，但可以修改默认的窗口过程。这样，所有基于新类创建的窗口，都会走你的过程函数。

超类化的步骤：

1. 调用GetClassInfo获取原有类信息
2. 修改lpfnWndProc指向你的新过程
3. 调用RegisterClass注册新类
4. 用新类名创建窗口

逆向时，看到GetClassInfo + RegisterClass的组合，基本就是超类化。我遇到过最狡猾的一个样本，它超类化了Button类，在所有按钮的WM_COMMAND消息里注入恶意代码。因为它是全局生效的，排查起来特别费劲。

五、逆向分析实战技巧

说了这么多理论，来点实际的。逆向消息机制时，我一般按这个流程走：

步骤	操作	说明
1	定位消息循环	找GetMessage或PeekMessage
2	找到窗口过程	从DefWindowProc回溯
3	分析消息处理	重点关注WM_COMMAND、WM_NOTIFY
4	检查子类化	搜索SetWindowLongPtr
5	检查超类化	搜索GetClassInfo + RegisterClass

我个人习惯在IDA里给这些API调用打上标签，方便后续分析。你想想看，一个程序可能有几十个窗口过程，不标记清楚很容易搞混。

六、消息机制核心流程图

下面这张图，是我自己总结的消息机制全流程。从消息产生到最终处理，每一步都标出来了：

从图上可以清楚看到，子类化和超类化分别在消息分发的不同阶段进行劫持。子类化在DispatchMessage之后、窗口过程之前拦截；超类化则在注册类时就替换了默认过程。理解这个区别，逆向时就能快速判断对方用了哪种手法。

七、总结与避坑

消息机制这块，逆向时最容易踩的坑有三个：

• 混淆子类化和超类化：记住，子类化改实例，超类化改类。我刚开始也搞混过，后来用Spy++看窗口类名才明白。
• 忽略CallWindowProc：子类化后，新过程必须调用原过程，否则窗口行为会异常。逆向时，如果发现某个窗口过程没有调用CallWindowProc，那它很可能在搞鬼。
• 忘记检查WM_NCDESTROY：窗口销毁时，子类化需要恢复原过程。有些恶意软件故意不恢复，导致系统资源泄漏。

嗯，今天就先聊这么多。消息机制是Windows逆向的基础，搞懂了它，后面分析各种GUI程序都会轻松很多。记住我上面说的那几个关键点，实战中多练练，很快就能上手。

---

公众号:蓝海资料掘金营，微信deep3321