钩子函数的学习

WINDOWS的钩子函数可以认为是WINDOWS的主要特性之一。利用它们，您可以捕捉您自己进程或其它进程发生的事件。通过“钩挂”，您可以给 WINDOWS一个处理或过滤事件的回调函数，该函数也叫做“钩子函数”，当每次发生您感兴趣的事件时，WINDOWS都将调用该函数。一共有两种类型的钩子：局部的和远程的。    
  局部钩子仅钩挂您自己进程的事件。    
  远程的钩子还可以将钩挂其它进程发生的事件。远程的钩子又有两种：    
  基于线程的   它将捕获其它进程中某一特定线程的事件。简言之，就是可以用来观察其它进程中的某一特定线程将发生的事件。    
  系统范围的   将捕捉系统中所有进程将发生的事件消息。    
  安装钩子函数将会影响系统的性能。监测“系统范围事件”的系统钩子特别明显。因为系统在处理所有的相关事件时都将调用您的钩子函数，这样您的系统将会明显的减慢。所以应谨慎使用，用完后立即卸载。还有，由于您可以预先截获其它进程的消息，所以一旦您的钩子函数出了问题的话必将影响其它的进程。记住：功能强大也意味着使用时要负责任。  
  在正确使用钩子函数前，我们先讲解钩子函数的工作原理。当您创建一个钩子时，WINDOWS会先在内存中创建一个数据结构，该数据结构包含了钩子的相关信息，然后把该结构体加到已经存在的钩子链表中去。新的钩子将加到老的前面。当一个事件发生时，如果您安装的是一个局部钩子，您进程中的钩子函数将被调用。如果是一个远程钩子，系统就必须把钩子函数插入到其它进程的地址空间，要做到这一点要求钩子函数必须在一个动态链接库中，所以如果您想要使用远程钩子，就必须把该钩子函数放到动态链接库中去。当然有两个例外：工作日志钩子和工作日志回放钩子。这两个钩子的钩子函数必须在安装钩子的线程中。原因是：这两个钩子是用来监控比较底层的硬件事件的，既然是记录和回放，所有的事件就当然都是有先后次序的。所以如果把回调函数放在DLL中，输入的事件被放在几个线程中记录，所以我们无法保证得到正确的次序。故解决的办法是：把钩子函数放到单个的线程中，譬如安装钩子的线程。

钩子的类型 
　　一． 按事件分类，有如下的几种常用类型 
　　（1） 键盘钩子和低级键盘钩子可以监视各种键盘消息。 
　　（2） 鼠标钩子和低级鼠标钩子可以监视各种鼠标消息。 
　　（3） 外壳钩子可以监视各种Shell事件消息。比如启动和关闭应用程序。 
　　（4） 日志钩子可以记录从系统消息队列中取出的各种事件消息。 
　　（5） 窗口过程钩子监视所有从系统消息队列发往目标窗口的消息。 
　　此外，还有一些特定事件的钩子提供给我们使用，不一一列举。 

下面描述常用的Hook类型： 

1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks 
WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到窗口过程的消息。系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC Hook子程，并且在窗口过程处理完消息之后调用WH_CALLWNDPRO 
CRET Hook子程。WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到Hook子程。CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与这个消息关联的消息参数。 

2、WH_CBT Hook 
在以下事件之前，系统都会调用WH_CBT Hook子程，这些事件包括： 
1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件； 
2. 完成系统指令； 
3. 来自系统消息队列中的移动鼠标，键盘事件； 
4. 设置输入焦点事件； 
5. 同步系统消息队列事件。 
Hook子程的返回值确定系统是否允许或者防止这些操作中的一个。 

3、WH_DEBUG Hook 
在系统调用系统中与其他Hook关联的Hook子程之前，系统会调用WH_DEBUG Hook子程。你可以使用这个Hook来决定是否允许系统调用与其他Hook关联的Hook子程。 

4、WH_FOREGROUNDIDLE Hook 
当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务。当应用程序的前台线程大概要变成空闲状态时，系统就会调用WH_FOREGROUNDIDLE Hook子程。 

5、WH_GETMESSAGE Hook 
应用程序使用WH_GETMESSAGE Hook来监视从GetMessage or PeekMessage函数返回的消息。你可以使用WH_GETMESSAGE Hook去监视鼠标和键盘输入，以及其他发送到消息队列中的消息。 

6、WH_JOURNALPLAYBACK Hook 
WH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可以使用这个Hook回放通过使用WH_JOURNALRECORD Hook记录下来的连续的鼠标和键盘事件。只要WH_JOURNALPLAYBACK Hook已经安装，正常的鼠标和键盘事件就是无效的。WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定Hook一样使用。WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处理来自回放Hook当前消息之前需要等待多长时间（毫秒）。这就使Hook可以控制实时事件的回放。WH_JOURNALPLAYBACK是system-wide local hooks，它們不會被注射到任何行程位址空間。（估计按键精灵是用这个hook做的） 

7、WH_JOURNALRECORD Hook 
WH_JOURNALRECORD Hook用来监视和记录输入事件。典型的，可以使用这个Hook记录连续的鼠标和键盘事件，然后通过使用WH_JOURNALPLAYBACK Hook来回放。WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定Hook一样使用。WH_JOURNALRECORD是system-wide local hooks，它們不會被注射到任何行程位址空間。 

8、WH_KEYBOARD Hook 
在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and WM_KEYUP消息，这些消息通过GetMessage or PeekMessage function返回。可以使用这个Hook来监视输入到消息队列中的键盘消息。 

9、WH_KEYBOARD_LL Hook 
WH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。 

10、WH_MOUSE Hook 
WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。使用这个Hook监视输入到消息队列中的鼠标消息。

11、WH_MOUSE_LL Hook 
WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。 

12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks 
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动条，消息框，对话框消息并且发现用户使用ALT+TAB or ALT+ESC 组合键切换窗口。WH_MSGFILTER Hook只能监视传递到菜单，滚动条，消息框的消息，以及传递到通过安装了Hook子程的应用程序建立的对话框的消息。WH_SYSMSGFILTER Hook监视所有应用程序消息。WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间过滤消息，这等价于在主消息循环中过滤消息。通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这个函数，应用程序能够在模式循环期间使用相同的代码去过滤消息，如同在主消息循环里一样。 

13、WH_SHELL Hook 
外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是激活的并且当顶层窗口建立或者销毁时，系统调用WH_SHELL Hook子程。 
WH_SHELL 共有５钟情況： 
1. 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁； 
2. 当Taskbar需要重画某个按钮； 
3. 当系统需要显示关于Taskbar的一个程序的最小化形式； 
4. 当目前的键盘布局状态改变； 
5. 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。 
按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接收WH_SHELL消息之前，应用程序必须调用SystemParametersInfo function注册它自己。 

以上是13种常用的hook类型！ 


编写钩子程序 

　　 编写钩子程序的步骤分为三步：定义钩子函数、安装钩子和卸载钩子。 

　　1．定义钩子函数 
　　钩子函数是一种特殊的回调函数。钩子监视的特定事件发生后，系统会调用钩子函数进行处理。不同事件的钩子函数的形式是各不相同的。下面以鼠标钩子函数举例说明钩子函数的原型： 
LRESULT CALLBACK HookProc(int nCode ,WPARAM wParam,LPARAM lParam) 
参数wParam和 lParam包含所钩消息的信息，比如鼠标位置、状态，键盘按键等。nCode包含有关消息本身的信息，比如是否从消息队列中移出。 
我们先在钩子函数中实现自定义的功能，然后调用函数 CallNextHookEx.把钩子信息传递给钩子链的下一个钩子函数。CallNextHookEx.的原型如下： 
LRESULT CallNextHookEx( HHOOK hhk, int nCode, WPARAM wParam, LPARAM lParam ) 
参数 hhk是钩子句柄。nCode、wParam和lParam 是钩子函数。 
当然也可以通过直接返回TRUE来丢弃该消息，就阻止了该消息的传递。

2．安装钩子 
　　 要安装一个钩子，您可以调用SetWindowHookEx函数。该函数的原型如下：    
  SetWindowsHookEx   proto   HookType:DWORD,   pHookProc:DWORD,   hInstance:DWORD,   ThreadID:DWORD    
  HookType   是我们上面列出的值之一,譬如：   WH_MOUSE,   WH_KEYBOARD    
  pHookProc   是钩子函数的地址。如果使用的是远程的钩子，就必须放在一个DLL中，否则放在本身代码中    
  hInstance   钩子函数所在DLL的实例句柄。如果是一个局部的钩子，该值为NULL    
  ThreadID   是您安装该钩子函数后想监控的线程的ID号。该参数可以决定该钩子是局部的还是系统范围的。如果该值为NULL，那么该钩子将被解释成系统范围内的，那它就可以监控所有的进程及它们的线程。如果您指定了您自己进程中的某个线程ID   号，那该钩子是一个局部的钩子。如果该线程ID是另一个进程中某个线程的ID，那该钩子是一个全局的远程钩子。这里有两个特殊情况：WH_JOURNALRECORD   和   WH_JOURNALPLAYBACK总是代表局部的系统范围的钩子，之所以说是局部，是因为它们没有必要放到一个DLL中。WH_SYSMSGFILTER   总是一个系统范围内的远程钩子。其实它和WH_MSGFILTER钩子类似，如果把参数ThreadID设成0的话，它们就完全一样了。    
  如果该函数调用成功的话，将在eax中返回钩子的句柄，否则返回NULL。您必须保存该句柄，因为后面我们还要它来卸载钩子。

3．卸载钩子 

要卸载一个钩子时调用UnhookWidowHookEx函数，该函数仅有一个参数，就是欲卸载的钩子的句柄。如果调用成功的话，在eax中返回非0值，否则返回NULL。  
  现在您知道了如何安装和卸载一个钩子了，接下来我们将看看钩子函数。.    
  只要您安装的钩子的消息事件类型发生，WINDOWS就将调用钩子函数。譬如您安装的钩子是WH_MOUSE类型，那么只要有一个鼠标事件发生时，该钩子函数就会被调用。不管您安装的时那一类型钩子，钩子函数的原型都时是一样的：    
  HookProc   proto   nCode:DWORD,   wParam:DWORD,   lParam:DWORD    
       
  nCode   指定是否需要处理该消息    
  wParam   和   lParam   包含该消息的附加消息    
  HookProc   可以看作是一个函数名的占位符。只要函数的原型一致，您可以给该函数取任何名字。至于以上的几个参数及返回值的具体含义各种类型的钩子都不相同。譬如：    
  WH_CALLWNDPROC    
  nCode   只能是HC_ACTION，它代表有一个消息发送给了一个窗口    
  wParam   如果非0，代表正被发送的消息    
  lParam   指向CWPSTRUCT型结构体变量的指针    
  return   value:   未使用，返回0    
  WH_MOUSE    
  nCode   为HC_ACTION   或   HC_NOREMOVE    
  wParam   包含鼠标的事件消息    
  lParam   指向MOUSEHOOKSTRUCT型结构体变量的指针    
  return   value:   如果不处理返回0，否则返回非0值    
  所以您必须查询您的WIN32   API   指南来得到不同类型的钩子的参数的详细定义以及它们返回值的意义。这里还有一个问题需要注意：所有的钩子都串在一个链表上，最近加入的钩子放在链表的头部。当一个事件发生时，WINDOWS将按照从链表头到链表尾调用的顺序。所以您的钩子函数有责任把消息传到下一个链中的钩子函数。当然您可以不这样做，但是您最好明白这时这么做的原因。在大多数的情况下，最好把消息事件传递下去以便其它的钩子都有机会获得处理这一消息的机会。调用下一个钩子函数可以调用函数CallNextHookEx。该函数的原型如下：    
  CallNextHookEx   proto   hHook:DWORD,   nCode:DWORD,   wParam:DWORD,   lParam:DWORD    
  hHook   时是您自己的钩子函数的句柄。利用该句柄可以遍历钩子链。    
  nCode,   wParam   and   lParam   您只要把传入的参数简单传给CallNextHookEx即可。 


请注意：对于远程钩子，钩子函数必须放到DLL中，它们将从DLL中映射到其它的进程空间中去。当WINDOWS映射DLL到其它的进程空间中去时，不会把数据段也进行映射。简言之，所有的进程仅共享DLL的代码，至于数据段，每一个进程都将有其单独的拷贝。这是一个很容易被忽视的问题。您可能想当然的以为，在DLL中保存的值可以在所有映射该DLL的进程之间共享。在通常情况下，由于每一个映射该DLL的进程都有自己的数据段，所以在大多数的情况下您的程序运行得都不错。但是钩子函数却不是如此。对于钩子函数来说，要求DLL的数据段对所有的进程也必须相同。这样您就必须把数据段设成共享的，这可以通过在链接开关中指定段的属性来实现。