64비트 윈도우즈에서의 이벤트 후킹
이미, 경험해 보신 분들은 잘 아시겠지만. x64 윈도우즈에서는, 기존 32비트 윈도우즈용으로 작성한 응용 프로그램 중에서 이벤트 후킹을 사용한 프로그램은 정상적으로 동작하지 않게 됩니다.
예를 들어, 프로세스 이름이 testhook.exe이라고 하면. 전역 윈도우즈 이벤트 후킹을 하기 위해 testhook.dll이라는 것도 만들었을 것입니다. 물론, 그 2개의 바이너리는 32비트 모듈이지요.
"32비트 모듈은 32비트 프로세스에서만 로딩이 가능하고, 64비트 모듈은 64비트 프로세스에서만 로딩이 가능하다"라는 것을 떠올리면 왜, 이벤트 후킹을 사용한 프로그램이 정상적으로 x64 윈도우즈에서 구동되지 않는지 알 수 있습니다.
testhook.exe 프로세스가 x64 윈도우즈에서 실행되면 WoW의 도움을 받고 있다는 표시로 작업관리자에서는 "test.exe *32"라고 표시가 됩니다. 그렇게 32비트 프로세스로 초기화된 프로그램에서 SetWindowsHookEx를 호출하여 훅 프로시져가 있는 "testhook.dll"을 지정하게 되면, 작업관리자에서 볼 수 있는 모든 64비트 프로세스들에서는 32비트 "testhook.dll"을 로드 할 수 없기 때문에, 프로세스 컨텍스트 스위칭이 발생할 때마다, 후킹이 동작했다/안했다를 반복하게 됩니다.
따라서, 원하는 데로 이벤트 후킹을 하려면.
testhook32.exe/testhook32.dll과 testhook64.exe/testhook64.dll을 별도로 준비하고, 각각의 프로그램에서 SetWindowsHookEx를 호출해 줘야 합니다.
32비트와 64비트 응용 프로그램이 공존하는 동안은.
[이 토픽에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]