vb_usb.txt

VB检测U盘 VB检测U盘 VB检测U盘 VB检测U盘

VB检测到U盘的插拔(源代码) 


  现在网络上流传着一些能实时检测到U盘插拔消息并能在其插入后伺机拷贝其中文档资料的恶意程序，通过一个简单的VB程序演示一下核心操作过程并借机把实现原理作一个简洁的说明。（可以编译成系统服务后随开机启动哦，哈哈哈） 

  事实上当U盘（实际上不局限于U盘，所有能在系统中获得逻辑卷标的设备都适用）插入视窗系统的机器后操作系统将发送一个WM_DEVICECHANGE的广播消息，因此只要在相应的消息处理过程中拦截该信息并加以处理就能实时检测到U盘的插拔，之后即可进行预设的有关处理动作了。 

  熟悉WINDOWS消息处理过程的人都知道，操作系统发送有关消息时还会附带上两个重要的参数：wParam、lParam，因此WM_DEVICECHANGE也不例外，当该消息发生时，wParam里的内容是指示设备变化的具体事件类别，在我们的演示程序里只需要关心DBT_DEVICEARRIVAL和DBT_DEVICEREMOVECOMPLETE这两个事件，前者表示新设备已经插入机器并能正常使用了，后者表示设备已经被物理移除了；lParam的内容实际上是一个地址，指向一个结构体，该结构的具体细节由插入系统的设备类型决定，这里有个需要注意的地方，即不论设备类型是什么，该结构的前面三个LONG型成员是固定的，因此我们可以先取得这三个成员的内容，再根据第二个成员的数值来确定新设备类型，然后再获取全部成员的内容。 
以下是这个VB演示程序的代码，效果就是检测到设备插入后即把该设备根目录下的全部文件名显示在LISTBOX里面。 
模块代码： 
Option Explicit 
‘子类化窗体消息处理函数时需要使用的API，很常见，不作过多说明。 
Declare Function SetWindowLong Lib "user32" Alias "SetWindowLongA" (ByVal hwnd 
As Long, ByVal nIndex As Long, ByVal dwNewLong As Long) As Long 
Declare Function CallWindowProc Lib "user32" Alias "CallWindowProcA" (ByVal 
lpPrevWndFunc As Long, ByVal hwnd As Long, ByVal Msg As Long, ByVal wParam As 
Long, ByVal lParam As Long) As Long 
Declare Sub CopyMemory Lib "kernel32" Alias "RtlMoveMemory" (pDst As Any, pSrc 
As Any, ByVal ByteLen As Long) 
Const GWL_WNDPROC = -4 
Const WM_DEVICECHANGE As Long = &H219 
Const DBT_DEVICEARRIVAL As Long = &H8000& 
Const DBT_DEVICEREMOVECOMPLETE As Long = &H8004& 
'设备类型：逻辑卷标 
Const DBT_DEVTYP_VOLUME As Long = &H2 
'与WM_DEVICECHANGE消息相关联的结构体头部信息 
Private Type DEV_BROADCAST_HDR 
lSize As Long 
lDevicetype As Long   '设备类型 
lReserved As Long 
End Type 
'设备为逻辑卷时对应的结构体信息 
Private Type DEV_BROADCAST_VOLUME 
lSize As Long 
lDevicetype As Long 
lReserved As Long 
lUnitMask As Long   '和逻辑卷标对应的掩码 
iFlag As Integer   
End Type 
Public info As DEV_BROADCAST_HDR 
Public info_volume As DEV_BROADCAST_VOLUME 
Public PrevProc As Long   ‘原来的窗体消息处理函数地址 
Public Sub HookForm(F As Form) 
PrevProc = SetWindowLong(F.hwnd, GWL_WNDPROC, AddressOf WindowProc) 
End Sub 
Public Sub UnHookForm(F As Form) 
SetWindowLong F.hwnd, GWL_WNDPROC, PrevProc 
End Sub 
Public Function WindowProc(ByVal hwnd As Long, ByVal uMsg As Long, ByVal wParam 
As Long, ByVal lParam As Long) As Long 
Select Case uMsg 
    '插入USB DISK 则接收到此消息 
    Case WM_DEVICECHANGE 
    If wParam = DBT_DEVICEARRIVAL Then 
    
    '若插入USBDISK或者映射网络盘等则 
    'info.lDevicetype =2 
    '即DBT_DEVTYP_VOLUME 
    
    ‘利用参数lParam获取结构体头部信息 
    CopyMemory info, ByVal lParam, Len(info) 
    
    If info.lDevicetype = DBT_DEVTYP_VOLUME Then 
    
    CopyMemory info_volume, ByVal lParam, Len(info_volume) 
    
    '检测到有逻辑卷添加到系统中，则显示该设备根目录下全部文件名 
    ListFiles Chr(GetDriveName(info_volume.lUnitMask)) & ":\", 
Form1.List1 
    End If 
    End If 
    
    If wParam = DBT_DEVICEREMOVECOMPLETE Then 
    
    '若移走USBDISK或者映射网络盘等则 
    'info.lDevicetype =2 
    '即DBT_DEVTYP_VOLUME 
    
    ‘利用参数lParam获取结构体头部信息 
    CopyMemory info, ByVal lParam, Len(info) 
        
    If info.lDevicetype = DBT_DEVTYP_VOLUME Then 
    CopyMemory info_volume, ByVal lParam, Len(info_volume) 
    
    '清除LIST中的内容 
    Form1.List1.Clear 
    End If 
    End If     
    
  End Select 
' 调用原来的窗体消息处理函数 
WindowProc = CallWindowProc(PrevProc, hwnd, uMsg, wParam, lParam) 

End Function 
'根据输入的32位LONG型数据（只有一位为1）返回对应的卷标的ASCII数值 
'规则是1：A、2：B、4：C等等 
Function GetDriveName(ByVal lUnitMask As Long) As Byte 
Dim i As Long 
i = 0 
While lUnitMask Mod 2 <> 1 
lUnitMask = lUnitMask \ 2 
i = i + 1 
Wend 
GetDriveName = Asc("A") + i 
End Function 
'显示插入逻辑卷根目录的文件名列表，需要在工程里引用Microsoft Scripting Runtime库。 
Function ListFiles(strPath As String, ByRef list As ListBox) 
Dim fso As New Scripting.FileSystemObject 
Dim objFolder As Folder 
Dim objFile As File 

Set objFolder = fso.GetFolder(strPath) 

For Each objFile In objFolder.Files 
list.AddItem objFile.Name 
Next 
End Function 
窗体Form1代码： 
Option Explicit 
Private Sub Form_Load() 
'子类化窗体的消息处理函数 
HookForm Me 
End Sub 
Private Sub Form_Unload(Cancel As Integer) 
'程序退出时恢复原窗体处理函数 
UnHookForm Me 
End Sub 


备注：本示例程序不仅仅能检测U盘的插入，对CDROM、网络映射盘等设备也会作出同样的反应，如果需要只检测U盘，则需要在If info.lDevicetype = 
DBT_DEVTYP_VOLUME 
处再对iFlag结构成员作检测，其数值为0时表示设备为U盘。另外根据微软的解释，软盘的插拔是不会有引发该消息的，原因是只有支持软弹出技术的设备才会引发该消息。