HOOK 学习指南.docVIP

HOOK 学习指南本文将试图以下面的顺序讲解HOOK的大部分内容： 1、 WINDOWS的消息机制 2、 HOOK介绍 3、 HOOK链 4、 HOOK钩子的作用范围 5、 HOOK类型 6、 回调函数 7、 HOOK钩子的安装与卸载 8、 HOOK实例演示 +++++++++++++++++++ WINDOWS的消息机制 +++++++++++++++++++ Windows系统是以消息处理为其控制机制，系统通过消息为窗口过程（windows??procedure）传递输入。系统和应用两者都可以产生消息。对于每个输入事件，例如用 户按下了键盘上的某个键、移动了鼠标、单击了一个控件上的滚动条，等等，系统都 将产生一系列消息。此外，对于应用带给系统的变化，如字体资源的改变、应用本身 窗口的改变，系统都将通过消息以响应这种变化。应用通过产生消息指示应用的窗口 完成特定的任务，或与其他应用的窗口进行通信。 每个窗口都有一个处理Windows系统发送消息的处理程序，称为窗口程序。它是 隐含在窗口背后的一段程序脚本，其中包含对事件进行处理的代码。 Windows系统为每条消息指定了一个消息编号，例如当一个窗口变为活动窗口时，它事 实上是收到一条来自Windows系统的WM_ACTIVATE消息，该消息的编号为6，它对 应于VB窗口的Activate事件。对于窗口来说，诸如Open、Activate、MouseDown、Resize 等事件，实际上对应的是窗口内部的消息处理程序，这些程序对于用户来讲是不可见的。 类似地，命令按钮也有消息处理程序，它的处理程序响应诸如WM_LBUTTONDOWN 和WM_RBUTTONDOWN之类的消息，即激活命令按钮的MouseDown事件。 WINDOWS的消息处理机制为了能在应用程序中监控系统的各种事件消息，提供 了挂接各种回调函数(HOOK)的功能。这种挂钩函数(HOOK)类似扩充中断驱动程序， 挂钩上 可以挂接多个反调函数构成一个挂接函数链。系统产生的各种消息首先被送 到各种挂接函数，挂接函数根据各自的功能对消息进行监视、修改和控制等，然后交 还控 制权或将消息传递给下一个挂接函数以致最终达到窗口函数。WINDOW系统的 这种反调函数挂接方法虽然会略加影响到系统的运行效率，但在很多场合下是非常有 用的，通过合理有效地利用键盘事件的挂钩函数监控机制可以达到预想不到的良好效 果。 +++++++++++ hook介绍 +++++++++++ 　　Hook（钩子）是WINDOWS提供的一种消息处理机制平台，是指在程序正常运 行中接受信息之前预先启动的函数，用来检查和修改传给该程序的信息，（钩子）实 际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出， 在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这 时钩子函数即可以加工处理（改变）该消息，也可以不作处理而继续传递该消息，还 可以强制结束消息的传递。 注意：安装钩子函数将会影响系统的性能。监测“系统范围事件”的系统钩子特 别明显。因为系统在处理所有的相关事件时都将调用您的钩子函数，这样您的系统将 会明显的减慢。所以应谨慎使用，用完后立即卸载。还有，由于您可以预先截获其它 进程的消息，所以一旦您的钩子函数出了问题的话必将影响其它的进程。记住：功能 强大也意味着使用时要负责任。 +++++++++++++ HOOK链 +++++++++++++ WINDOWS提供了14种不同类型的HOOKS；不同的HOOK可以处理不同的消 息。例如，WH_MOUSE HOOK用来监视鼠标消息。 WINDOWS为这几种HOOKS维护着各自的HOOK链表。HOOK链表是一串由 应用程序定义的回调函数(CALLBACK Function)队列，当某种类型的消息发生时，WINDOWS向此种类型的HOOK链的第一个函数（HOOK链的顶部）发送该消息， 在第一函数处理完该消息后由该函数向链表中的下一个函数传递消息，依次向下。如 果链中某个函数没有向下传送该消息，那么链表中后面的函数将得不到此消息。（对 于某些类型的HOOK，不管HOOK链中的函数是否向下传递消息，与此类型HOOK 联系的所有HOOK函数都会收到系统发送的消息）一些Hook子过程可以只监视消息， 或者修改消息，或者停止消息的前进，避免这些消息传递到下一个Hook子过程或者 目的窗口。最近安装的钩子放在链的开始，而最早安装的钩子放在最后，也就是后加 入的先获得控制权。 +++++++++++++++++ 钩子的作用范围 ++