C++ DLL Hook MessageBoxW在C# WinForms中崩溃问题排查

场景与问题 #

• 环境：Windows 11 x64 23H2、Visual Studio Enterprise 2022、C# .NET 8.0 WinForms项目
• 需求：通过C++ DLL Hook MessageBoxW，将消息框背景色改为#457B9D、前景色设为白色，按钮文本/边框改为白色且背景透明，避免为90个窗体和75个用户控件自定义MessageBox
• 问题：程序运行崩溃，System Informer显示WerFault.exe启动；启用原生调试后发现ucrtbased.dll触发0xC0000005访问违规，出错行在CBTProc的if (lpcs->lpszClass && wcscmp(lpcs->lpszClass, L"#32770") == 0)

崩溃原因分析 #

0xC0000005访问违规的核心是非法内存访问：

• CBT钩子会触发多种事件（如HCBT_ACTIVATE、HCBT_DESTROYWND等），只有HCBT_CREATEWND事件的lParam才指向有效的CREATESTRUCTW结构体
• 若未判断事件类型就强制转换lParam为CREATESTRUCTW*，非HCBT_CREATEWND事件下会访问无效内存，引发崩溃
• 即使是HCBT_CREATEWND事件，也可能存在lpcs指针为空的极端情况，直接解引用lpcs->lpszClass会导致空指针访问

解决方案 #

1. 严格校验CBT钩子事件类型与指针有效性 #

修改CBTProc代码，仅在HCBT_CREATEWND事件下处理窗口创建逻辑，同时完善指针校验：

LRESULT CALLBACK CBTProc(int nCode, WPARAM wParam, LPARAM lParam)
{
    if (nCode < 0)
        return CallNextHookEx(NULL, nCode, wParam, lParam);

    // 仅处理窗口创建事件
    if (nCode == HCBT_CREATEWND)
    {
        CREATESTRUCTW* lpcs = reinterpret_cast<CREATESTRUCTW*>(lParam);
        // 先校验lpcs指针，再校验类名字符串
        if (lpcs != nullptr && lpcs->lpszClass != nullptr && wcscmp(lpcs->lpszClass, L"#32770") == 0)
        {
            // 此处添加消息框样式修改逻辑
        }
    }

    return CallNextHookEx(NULL, nCode, wParam, lParam);
}

2. 优化MessageBox Hook逻辑（更安全的实现方式） #

放弃在CBT阶段修改样式，改为Hook MessageBoxW后，在消息框创建完成后通过控件枚举修改样式，避免指针访问风险：

// 保存原MessageBoxW函数指针
typedef int(WINAPI* MessageBoxWProc)(HWND, LPCWSTR, LPCWSTR, UINT);
MessageBoxWProc pOriginalMessageBoxW = nullptr;

// Hook后的MessageBoxW实现
int WINAPI HookedMessageBoxW(HWND hWnd, LPCWSTR lpText, LPCWSTR lpCaption, UINT uType)
{
    // 调用原函数创建消息框
    int result = pOriginalMessageBoxW(hWnd, lpText, lpCaption, uType);
    
    // 获取消息框句柄
    HWND hMsgBox = FindWindowW(L"#32770", lpCaption);
    if (hMsgBox == nullptr)
        return result;

    // 修改消息框背景色
    HBRUSH hBgBrush = CreateSolidBrush(RGB(69, 123, 157)); // #457B9D的RGB值
    SetClassLongPtr(hMsgBox, GCLP_HBRBACKGROUND, reinterpret_cast<LONG_PTR>(hBgBrush));

    // 枚举子控件修改样式
    EnumChildWindows(hMsgBox, [](HWND hChild, LPARAM) -> BOOL {
        WCHAR szClassName[256] = {0};
        GetClassNameW(hChild, szClassName, _countof(szClassName));

        if (wcscmp(szClassName, L"Button") == 0)
        {
            // 设置按钮文本为白色，背景透明
            SetTextColor(GetDC(hChild), RGB(255, 255, 255));
            SetBkMode(GetDC(hChild), TRANSPARENT);
            // 按钮边框设为白色（可通过自定义绘制实现更精细控制）
            SetWindowLongPtr(hChild, GWL_STYLE, GetWindowLongPtr(hChild, GWL_STYLE) | BS_OWNERDRAW);
        }
        else if (wcscmp(szClassName, L"Static") == 0)
        {
            // 设置静态文本为白色
            SetTextColor(GetDC(hChild), RGB(255, 255, 255));
            SetBkMode(GetDC(hChild), TRANSPARENT);
        }

        InvalidateRect(hChild, nullptr, TRUE);
        return TRUE;
    }, 0);

    // 重绘消息框
    InvalidateRect(hMsgBox, nullptr, TRUE);
    return result;
}

3. 确保钩子安装/卸载的正确性 #

• 安装钩子时，若仅Hook当前进程的消息框，使用GetCurrentThreadId()作为线程ID；若需全局Hook，需保证DLL正确注入到目标进程
• 程序退出时及时调用UnhookWindowsHookEx卸载钩子，避免无效钩子残留引发异常

内容的提问来源于stack exchange，提问作者CyberDay