Windows窗体之ShowWindow函数分析

Windows窗体之ShowWindow函数分析

南极向北 

一、窗体创建过程

    在文章《Windows消息机制的逆向分析》中详细分析了Windows的消息机制以及窗体的创建过程,文章中表述Windows窗体的创建分为三步:声明WNDCLASS实例、窗体注册、创建窗体。如果继续细分可以分为四步:声明WNDCLASS实例、窗体注册、创建窗体、显示窗体

    其中窗体注册函数是RegisterClass()或RegisterClassEx(),创建窗体则是CreateWindow()或CreatewindowEx()函数,显示窗体则是利用ShowWindow()函数。

    本文重点描述ShowWindow()函数。

二、ShowWindow函数

    CreateWindowEx 建立窗口以后,这时候,窗口虽已建立,但还没有在屏幕上显示出来。

    ShowWindow函数

    函数功能:该函数设置指定窗口的显示状态。

    函数原型:BOOL ShowWindow(HWND hWnd, int nCmdShow

    其中hWnd指窗口句柄;nCmdShow指定窗口如何显示。如果发送应用程序的程序提供了STARTUPINFO结构,则应用程序第一次调用ShowWindow时该参数被忽略。否则,在第一次调用ShowWindow函数时,该值应为在函数WinMain中nCmdShow参数。在随后的调用中,该参数可以为下列值之一:

预定义值 等 效 值 nCmdShow值
SW_FORCEMINIMIZE 在WindowNT5.0中最小化窗口,即使拥有窗口的线程被挂起也会最小化。在从其他线程最小化窗口时才使用这个参数 11
 SW_HIDE  隐藏窗口,大小不变,激活状态不变 0
 SW_MAXIMIZE  最大化窗口,显示状态不变,激活状态不变 3
 SW_MINIMIZE  最小化指定的窗口并且激活在Z序中的下一个顶层窗口 6
 SW_RESTORE  激活并显示窗口。如果窗口最小化或最大化,则系统将窗口恢复到原来的尺寸和位置。在恢复最小化窗口时,应用程序应该指定这个标志 9
 SW_SHOW 在窗口原来的位置以原来的尺寸激活和显示窗口 5
 SW_SHOWMAXIMIZED  显示并激活窗口,以最大化显示 3
 SW_SHOWMINIMIZED  显示并激活窗口,以最小化显示 2
 SW_SHOWMINNOACTIVE  显示窗口并最小化,激活窗口仍然维持激活状态 7
 SW_SHOWNA  以窗口原来的状态显示窗口。激活窗口仍然维持激活状态 8
 SW_SHOWNOACTIVATE  以窗口最近一次的大小和状态显示窗口。激活窗口仍然维持激活状态 4
SW_SHOWDEFAULT 依据在STARTUPINFO结构中指定的SW_FLAG标志设定显示状态,STARTUPINFO 结构是由启动应用程序的程序传递给CreateProcess函数的 10
 SW_SHOWNORMAL  激活并显示一个窗口。如果窗口被最小化或最大化,系统将其恢复到原来的尺寸和大小。应用程序在第一次显示窗口的时候应该指定此标志 1

三、函数过程分析

    本次分析样本仍以https://blog.csdn.net/weixin_39768541/article/details/85010183 文章中的CM。在RegisterClass、CreateWindow以及NtUserShowWindow(模块间调用无ShowWindow函数)处下断点。

Windows窗体之ShowWindow函数分析_第1张图片

    可以观察到函数执行流程是先将所有的窗体注册与创建完成后,再逐一执行NtUserShowWindow函数

Windows窗体之ShowWindow函数分析_第2张图片

    那么现在来搜索ShowWindow函数何处调用。利用RUN跟踪:

Windows窗体之ShowWindow函数分析_第3张图片

    调用函数即为NtUserShowWindow外层函数,其中标红位置即为nCmdShow值。

你可能感兴趣的:(C#)