一、基本概念：
鉤子(Hook)，是Windows消息處理機制的一個平臺,應用程序可以在上面設置子程以監視指定窗口的某種消息，而且所監視的窗口可以是其他進程所創建的。當消息到達后，在目標窗口處理函數之前處理它。鉤子機制允許應用程序截獲處理window消息或特定事件。鉤子實際上是一個處理消息的程序段，通過系統調用，把它掛入系統。每當特定的消息發出，在沒有到達目的窗口前，鉤子程序就先捕獲該消息，亦即鉤子函數先得到控制權。這時鉤子函數即可以加工處理（改變）該消息，也可以不作處理而繼續傳遞該消息，還可以強制結束消息的傳遞。二、運行機制：
1、鉤子鏈表和鉤子子程：每一個Hook都有一個與之相關聯的指針列表，稱之為鉤子鏈表，由系統來維護。這個列表的指針指向指定的，應用程序定義的，被Hook子程調用的回調函數，也就是該鉤子的各個處理子程。當與指定的Hook類型關聯的消息發生時，系統就把這個消息傳遞到Hook子程。一些Hook子程可以只監視消息，或者修改消息，或者停止消息的前進，避免這些消息傳遞到下一個Hook子程或者目的窗口。最近安裝的鉤子放在鏈的開始，而最早安裝的鉤子放在最后，也就是后加入的先獲得控制權。Windows 并不要求鉤子子程的卸載順序一定得和安裝順序相反。每當有一個鉤子被卸載，Windows 便釋放其占用的內存，并更新整個Hook鏈表。如果程序安裝了鉤子，但是在尚未卸載鉤子之前就結束了，那么系統會自動為它做卸載鉤子的操作。鉤子子程是一個應用程序定義的回調函數(CALLBACK Function),不能定義成某個類的成員函數，只能定義為普通的C函數。用以監視系統或某一特定類型的事件，這些事件可以是與某一特定線程關聯的，也可以是系統中所有線程的事件。鉤子子程必須按照以下的語法：
1 LRESULT CALLBACK HookProc
2 (
3 int nCode,
4 WPARAM wParam,
5 LPARAM lParam
6 );
HookProc是應用程序定義的名字。nCode參數是Hook代碼，Hook子程使用這個參數來確定任務。這個參數的值依賴于Hook類型，每一種Hook都有自己的Hook代碼特征字符集。wParam和lParam參數的值依賴于Hook代碼，但是它們的典型值是包含了關于發送或者接收消息的信息。2、鉤子的安裝與釋放：使用API函數SetWindowsHookEx()把一個應用程序定義的鉤子子程安裝到鉤子鏈表中。SetWindowsHookEx函數總是在Hook鏈的開頭安裝Hook子程。當指定類型的Hook監視的事件發生時，系統就調用與這個Hook關聯的Hook鏈的開頭的Hook子程。每一個Hook鏈中的Hook子程都決定是否把這個事件傳遞到下一個Hook子程。Hook子程傳遞事件到下一個Hook子程需要調用CallNextHookEx函數。
1 HHOOK SetWindowsHookEx(
2 int idHook, // 鉤子的類型，即它處理的消息類型
3 HOOKPROC lpfn, // 鉤子子程的地址指針。如果dwThreadId參數為0
4 // 或是一個由別的進程創建的線程的標識，
5 // lpfn必須指向DLL中的鉤子子程。
6 // 除此以外，lpfn可以指向當前進程的一段鉤子子程代碼。
7 // 鉤子函數的入口地址，當鉤子鉤到任何消息后便調用這個函數。
8 HINSTANCE hMod, // 應用程序實例的句柄。標識包含lpfn所指的子程的DLL。
10 // 如果dwThreadId 標識當前進程創建的一個線程，
11 // 而且子程代碼位于當前進程，hMod必須為NULL。
12 // 可以很簡單的設定其為本應用程序的實例句柄。
13 DWORD dwThreadId // 與安裝的鉤子子程相關聯的線程的標識符。
14 // 如果為0，鉤子子程與所有的線程關聯，即為全局鉤子。
15 );
函數成功則返回鉤子子程的句柄，失敗返回NULL。以上所說的鉤子子程與線程相關聯是指在一鉤子鏈表中發給該線程的消息同時發送給鉤子子程，且被鉤子子程先處理。在鉤子子程中調用得到控制權的鉤子函數在完成對消息的處理后，如果想要該消息繼續傳遞，那么它必須調用另外一個SDK中的API函數CallNextHookEx來傳遞它，以執行鉤子鏈表所指的下一個鉤子子程。這個函數成功時返回鉤子鏈中下一個鉤子過程的返回值，返回值的類型依賴于鉤子的類型。這個函數的原型如下：
1 LRESULT CallNextHookEx
2 (
3 HHOOK hhk;
4 int nCode;
5 WPARAM wParam;
6 LPARAM lParam;
7 );
hhk為當前鉤子的句柄，由SetWindowsHookEx()函數返回。NCode為傳給鉤子過程的事件代碼。wParam和lParam 分別是傳給鉤子子程的wParam值，其具體含義與鉤子類型有關。 鉤子函數也可以通過直接返回TRUE來丟棄該消息，并阻止該消息的傳遞。否則的話，其他安裝了鉤子的應用程序將不會接收到鉤子的通知而且還有可能產生不正確的結果。鉤子在使用完之后需要用UnHookWindowsHookEx()卸載，否則會造成麻煩。釋放鉤子比較簡單，UnHookWindowsHookEx()只有一個參數。函數原型如下：
1 UnHookWindowsHookEx
2 (
3 HHOOK hhk;
4 );
函數成功返回TRUE，否則返回FALSE。3、一些運行機制：在Win16環境中，DLL的全局數據對每個載入它的進程來說都是相同的；而在Win32環境中，情況卻發生了變化，DLL函數中的代碼所創建的任何對象（包括變量）都歸調用它的線程或進程所有。當進程在載入DLL時，操作系統自動把DLL地址映射到該進程的私有空間，也就是進程的虛擬地址空間，而且也復制該DLL的全局數據的一份拷貝到該進程空間。也就是說每個進程所擁有的相同的DLL的全局數據，它們的名稱相同，但其值卻并不一定是相同的，而且是互不干涉的。因此，在Win32環境下要想在多個進程中共享數據，就必須進行必要的設置。在訪問同一個Dll的各進程之間共享存儲器是通過存儲器映射文件技術實現的。也可以把這些需要共享的數據分離出來，放置在一個獨立的數據段里，并把該段的屬性設置為共享。必須給這些變量賦初值，否則編譯器會把沒有賦初始值的變量放在一個叫未被初始化的數據段中。#pragma data_seg預處理指令用于設置共享數據段。例如：
1 #pragma data_seg("SharedDataName")
2 HHOOK hHook=NULL;
3 #pragma data_seg()
在#pragma data_seg("SharedDataName")和#pragma data_seg()之間的所有變量 將被訪問該Dll的所有進程看到和共享。當進程隱式或顯式調用一個動態庫里的函數時，系統都要把這個動態庫映射到這個進程的虛擬地址空間里(以下簡稱"地址空間")。這使得DLL成為進程的一部分，以這個進程的身份執行，使用這個進程的堆棧。4、系統鉤子與線程鉤子：SetWindowsHookEx()函數的最后一個參數決定了此鉤子是系統鉤子還是線程鉤子。 線程勾子用于監視指定線程的事件消息。線程勾子一般在當前線程或者當前線程派生的線程內。 系統勾子監視系統中的所有線程的事件消息。因為系統勾子會影響系統中所有的應用程序，所以勾子函數必須放在獨立的動態鏈接庫(DLL) 中。系統自動將包含"鉤子回調函數"的DLL映射到受鉤子函數影響的所有進程的地址空間中，即將這個DLL注入了那些進程。幾點說明：（1）如果對于同一事件（如鼠標消息）既安裝了線程勾子又安裝了系統勾子，那么系統會自動先調用線程勾子，然后調用系統勾子。 （2）對同一事件消息可安裝多個勾子處理過程，這些勾子處理過程形成了勾子鏈。當前勾子處理結束后應把勾子信息傳遞給下一個勾子函數。 （3）勾子特別是系統勾子會消耗消息處理時間，降低系統性能。只有在必要的時候才安裝勾子，在使用完畢后要及時卸載。三、鉤子類型
每一種類型的Hook可以使應用程序能夠監視不同類型的系統消息處理機制。下面描述所有可以利用的Hook類型。1、WH_CALLWNDPROC和WH_CALLWNDPROCRET HooksWH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以監視發送到窗口過程的消息。系統在消息發送到接收窗口過程之前WH_CALLWNDPROCHook子程，并且在窗口過程處理完消息之后調用WH_CALLWNDPROCRET Hook子程。WH_CALLWNDPROCRET Hook傳遞指針到CWPRETSTRUCT結構，再傳遞到Hook子程。CWPRETSTRUCT結構包含了來自處理消息的窗口過程的返回值，同樣也包括了與這個消息關聯的消息參數。2、WH_CBT Hook在以下事件之前，系統都會調用WH_CBT Hook子程，這些事件包括：1. 激活，建立，銷毀，最小化，最大化，移動，改變尺寸等窗口事件；2. 完成系統指令；3. 來自系統消息隊列中的移動鼠標，鍵盤事件；4. 設置輸入焦點事件；5. 同步系統消息隊列事件。 Hook子程的返回值確定系統是否允許或者防止這些操作中的一個。3、WH_DEBUG Hook在系統調用系統中與其他Hook關聯的Hook子程之前，系統會調用WH_DEBUG Hook子程。你可以使用這個Hook來決定是否允許系統調用與其他Hook關聯的Hook子程。4、WH_FOREGROUNDIDLE Hook當應用程序的前臺線程處于空閑狀態時，可以使用WH_FOREGROUNDIDLE Hook執行低優先級的任務。當應用程序的前臺線程大概要變成空閑狀態時，系統就會調用WH_FOREGROUNDIDLE Hook子程。5、WH_GETMESSAGE Hook應用程序使用WH_GETMESSAGE Hook來監視從GetMessage or PeekMessage函數返回的消息。你可以使用WH_GETMESSAGE Hook去監視鼠標和鍵盤輸入，以及其他發送到消息隊列中的消息。6、WH_JOURNALPLAYBACK HookWH_JOURNALPLAYBACK Hook使應用程序可以插入消息到系統消息隊列。可以使用這個Hook回放通過使用WH_JOURNALRECORD Hook記錄下來的連續的鼠標和鍵盤事件。只要WH_JOURNALPLAYBACK Hook已經安裝，正常的鼠標和鍵盤事件就是無效的。WH_JOURNALPLAYBACK Hook是全局Hook，它不能象線程特定Hook一樣使用。WH_JOURNALPLAYBACK Hook返回超時值，這個值告訴系統在處理來自回放Hook當前消息之前需要等待多長時間（毫秒）。這就使Hook可以控制實時事件的回放。WH_JOURNALPLAYBACK是system-wide local hooks，它們不會被注射到任何行程位址空間。7、WH_JOURNALRECORD HookWH_JOURNALRECORD Hook用來監視和記錄輸入事件。典型的，可以使用這個Hook記錄連續的鼠標和鍵盤事件，然后通過使用WH_JOURNALPLAYBACK Hook來回放。WH_JOURNALRECORD Hook是全局Hook，它不能象線程特定Hook一樣使用。WH_JOURNALRECORD是system-wide local hooks，它們不會被注射到任何行程位址空間。8、WH_KEYBOARD Hook在應用程序中，WH_KEYBOARD Hook用來監視WM_KEYDOWN and WM_KEYUP消息，這些消息通過GetMessage or PeekMessage function返回。可以使用這個Hook來監視輸入到消息隊列中的鍵盤消息。9、WH_KEYBOARD_LL HookWH_KEYBOARD_LL Hook監視輸入到線程消息隊列中的鍵盤消息。10、WH_MOUSE HookWH_MOUSE Hook監視從GetMessage 或者 PeekMessage 函數返回的鼠標消息。使用這個Hook監視輸入到消息隊列中的鼠標消息。11、WH_MOUSE_LL HookWH_MOUSE_LL Hook監視輸入到線程消息隊列中的鼠標消息。12、WH_MSGFILTER 和 WH_SYSMSGFILTER HooksWH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我們可以監視菜單，滾動條，消息框，對話框消息并且發現用戶使用ALT+TAB or ALT+ESC 組合鍵切換窗口。WH_MSGFILTER Hook只能監視傳遞到菜單，滾動條，消息框的消息，以及傳遞到通過安裝了Hook子程的應用程序建立的對話框的消息。WH_SYSMSGFILTER Hook監視所有應用程序消息。 WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我們可以在模式循環期間過濾消息，這等價于在主消息循環中過濾消息。 通過調用CallMsgFilter function可以直接的調用WH_MSGFILTER Hook。通過使用這個函數，應用程序能夠在模式循環期間使用相同的代碼去過濾消息，如同在主消息循環里一樣。13、WH_SHELL Hook外殼應用程序可以使用WH_SHELL Hook去接收重要的通知。當外殼應用程序是激活的并且當頂層窗口建立或者銷毀時，系統調用WH_SHELL Hook子程。WH_SHELL 共有５鐘情況：1. 只要有個top-level、unowned 窗口被產生、起作用、或是被摧毀；2. 當Taskbar需要重畫某個按鈕；3. 當系統需要顯示關于Taskbar的一個程序的最小化形式；4. 當目前的鍵盤布局狀態改變；5. 當使用者按Ctrl+Esc去執行Task Manager（或相同級別的程序）。 按照慣例，外殼應用程序都不接收WH_SHELL消息。所以，在應用程序能夠接收WH_SHELL消息之前，應用程序必須調用SystemParametersInfo function注冊它自己。以上轉自：http://www.microsoft.com/china/community/program/originalarticles/techdoc/hook.mspx以下轉自：http://topic.csdn.net/t/20030513/03/1774836.htmlCallNextHookEx 作用Hook 串鏈（Hook Chains） 當許多程式都安裝了某種型態的hook 時，就會形成一個filter-function chain。一旦特定 的event 發生，Windows 會呼叫該型態中最新掛上的hook filter function。舉個例，如果 程式A 掛上了一個system-wide WH_KEYBOARD hook，每當有任何執行緒取得鍵盤訊 息，Windows 就會呼叫這個filter function。如果程式B 也掛上了一個system-wide WH_KEYBOARD hook，那麼當event 發生，Windows 不再呼叫程式A 的filter function， 改呼叫程式B的filter function。這也意味每一個filter function 有責任確保先前掛上的filter Windows 95 程式設計指南（Windows 95 : A Developer’s Guide） 394 function 被呼叫（也就是維護串鏈的完整性）。 SetWindowsHookEx 函式會將新掛上的hook filter function 的代碼傳回。任何程式只要掛 上一個新的filter function 就必須儲存這個代碼（通常存放在全域變數中）： static HHOOK g_hhook = NULL; . . . g_hhook = SetWindowsHookEx(WH_KEYBOARD, Example_kybdHook, hinst, NULL); . . . 如果有錯誤發生，SetWindowsHookEx 函式會傳回NULL。 如果你希望hook chain 中的其它filter functions 也能夠執行，你可以在你的filter function 中呼叫CallNextHookEx 函式（或許你已經在先前的Example_KybdHook 函式片段中注意 到了） LRESULT CallNextHookEx(HHOOK hhook, int nCode, WPARAM wParam, LPARAM lParam); 這個函式會呼叫filter-function chain 的下一個filter function，並傳入相同的nCode、 wParam 和lParam。下一個filter function 結束之前，應該也遵循這個規則去呼叫 CallNextHookEx 函式，並再次將hook 代碼（通常那是被放在全域變數中）傳入。 CallNextHookEx 函式利用這個hook 代碼，走訪整個串鏈，決定哪一個filter function 是 下一個呼叫目標。如果CallNextHookEx 函式發現已經沒有下一個filter function 可以呼叫 （走到串鏈盡頭了），它會傳回0；否則它就傳回「下一個filter function 執行後的傳回值」。 你可能會在許多文件（包括SDK 文件）中發現一個有關CallNextHookEx 函式的過氣警告：「如 果nCode 小於0，則hook 函式應該不做任何處理，直接將它交給CallNextHookEx 函式，並傳回 CallNextHookEx 函式的回返值」。這並不是真的，而且自Windows 3.0 以來（那時還在使用舊版的 SetWindowsHook 函式）就已經不是真的了！撰寫程式時，你可以完全不理會這項警告。 第６章訊息攔截（Hooks） 395 有些時候你可能不希望呼叫其他的filter functions，這種情況下你只要不在你的filter function 中呼叫CallNextHookEx 函式即可。只要不將CallNextHookEx 函式放到你的filter function 中，你就不會呼叫其他的filter functions，而你也因此可以指定你自己的傳回值。 不幸的是，這裡埋伏著一個陷阱：另一個執行緒可能也為你安裝了一個hook，新的filter function 於是比你的filter function 更早被喚起，而它可能不呼叫你的filter function，完蛋 了！這個問題沒有一般性的解決方案，如果你先將自己的hook 卸除，然後再重新掛上， 那麼你的filter function 就成為最新的一個，會最先被呼叫。沒錯，但你不能夠保證其他 人不會依樣畫葫蘆。簡言之，hooks 是一個合作機制，沒有任何保障。
posted on 2012-11-05 11:27
王海光 閱讀(595)
評論(0) 編輯 收藏 引用 所屬分類:
其他