windows程序设计第六讲钩子(Hook)课件

1、钩子(Hook)Hookn是一种系统消息处理机制，使得应用程是一种系统消息处理机制，使得应用程序可以安装一个自定义的子过程，以监序可以安装一个自定义的子过程，以监视系统信息流向，并且对于某些特定的视系统信息流向，并且对于某些特定的信息，在其到达目标的窗口过程之前，信息，在其到达目标的窗口过程之前，进行一定的处理。进行一定的处理。分类nLocal Hooks 当前进程中的某一线程当前进程中的某一线程nRemote Hooks Thread其它进程中的某一线程其它进程中的某一线程 System Wide整个系统进程中的所有整个系统进程中的所有线线程程安装与卸载nHHOOK SetWindowsHo

2、okEx(int idHook, HOOKPROC hkprc, HINSTANCE hmod, DWORD dwThreadID); nLRESULT WINAPI hkprc (int nCode, WPARAM wParam, LPARAM lParam); nBOOL UnhookWindowsHookEx( HHOOK hhk);Hook链n当许多程序都安装了某种类型的当许多程序都安装了某种类型的 hook hook 时，就会形成一个时，就会形成一个 filter-function filter-function chain chain n一旦特定的一旦特定的 event event

3、 发生，发生，Windows Windows 会调会调用该类型中最新挂上的用该类型中最新挂上的 hook filter hook filter function function nLRESULT CallNextHookEx(HHOOK hhook, LRESULT CallNextHookEx(HHOOK hhook, int nCode, WPARAM wParam, LPARAM int nCode, WPARAM wParam, LPARAM lParam);lParam); 具体类型n1. WH_CALLWNDPROC1. WH_CALLWNDPROC 每当每当SendMessag

4、e发出一条消息到某个窗发出一条消息到某个窗口时口时n2. WH_CALLWNDPROCRET2. WH_CALLWNDPROCRET 每当每当SendMessage发出一条消息后返回时发出一条消息后返回时n3. WH_GETMESSAGE3. WH_GETMESSAGE 每当每当GetMessage或或PeekMessage从已经从已经挂上挂上Hook的线程消息队列取得一条消息时的线程消息队列取得一条消息时nSpy+n4. WH_KEYBOARD4. WH_KEYBOARD 每当每当GetMessage或或PeekMessage从已经从已经挂上挂上Hook的线程消息队列取得一条的线程消息队列取

5、得一条WM_KEYDOWN或或WM_KEYUP消息时消息时n5. WH_MOUSE5. WH_MOUSE 每当每当GetMessage或或PeekMessage从已经从已经挂上挂上Hook的线程消息队列取得一条鼠标消的线程消息队列取得一条鼠标消息时息时n6. WH_HARDWARE6. WH_HARDWARE 每当每当GetMessage或或PeekMessage从已经从已经挂上挂上Hook的线程消息队列取得一条硬件的线程消息队列取得一条硬件（键盘和鼠标除外）消息时（早期（键盘和鼠标除外）消息时（早期Windows版本）版本）n7. WH_MSGFILTER 挂上这个挂上这个Hook的线程每当

6、有对话框、菜单的线程每当有对话框、菜单或滚动条正要处理一条被或滚动条正要处理一条被Post过来的消息过来的消息时时n8. WH_SYSMSGFILTER 任何一个线程每当有对话框、菜单或滚动条任何一个线程每当有对话框、菜单或滚动条正要处理一条被正要处理一条被Post过来的消息时过来的消息时n9. WH_JOURNALRECORD 每当有一条消息从系统消息队列中被取出时每当有一条消息从系统消息队列中被取出时n10. WH_JOURNALPLAYBACK 每当每当Windows需要从系统消息队列中提取需要从系统消息队列中提取一条消息时一条消息时n11. WH_SHELL 11. WH_SHELL

7、分五种情况：分五种情况：只要有一个只要有一个top-leveltop-level、unownedunowned窗口被创窗口被创建、激活或销毁建、激活或销毁当任务栏需要重新绘制某个按钮时当任务栏需要重新绘制某个按钮时当系统需要显示位于任务栏上最小化程序当系统需要显示位于任务栏上最小化程序（一个四方形）时（一个四方形）时当前键盘布局状态改变时当前键盘布局状态改变时当用户按下当用户按下Ctrl+EscCtrl+Esc或或Alt+EscAlt+Esc时时n12. WH_CBT 12. WH_CBT 一共有一共有4 4种情况种情况每当有一个窗口被创建、激活、最大化、每当有一个窗口被创建、激活、最大化、最

8、小化、移动、改变大小最小化、移动、改变大小在完成在完成system command system command 之前之前在从在从systems hardware input queuesystems hardware input queue中中取走鼠标或键盘的事件之前取走鼠标或键盘的事件之前在设定输入焦点，或取得在设定输入焦点，或取得WM_QUEUESYNC WM_QUEUESYNC 消消息之前息之前n13. WH_FOREGROUNDIDLE13. WH_FOREGROUNDIDLE当前台线程调用当前台线程调用GetMessageGetMessage函数并且队列函数并且队列中没有消息，即将

9、进入睡眠状态时中没有消息，即将进入睡眠状态时n14. WH_DEBUG14. WH_DEBUG每当任何一个每当任何一个hook filter function hook filter function 被调被调用时用时n15.WH_KEYBOARD_LL 监视输入到线程消息队列中的键盘消息监视输入到线程消息队列中的键盘消息 ，即当键盘消息将要被投递到线程消息队列之即当键盘消息将要被投递到线程消息队列之前前n16.WH_MOUSE_LL 监视输入到线程消息队列中的鼠标消息监视输入到线程消息队列中的鼠标消息，即，即当鼠标消息将要被投递到线程消息队列之前当鼠标消息将要被投递到线程消息队列之前键盘事件

10、键盘事件鼠标事件鼠标事件系统输入队列系统输入队列将消息放置在系统消息队列将消息放置在系统消息队列? ?（经由使用者的动作或经由（经由使用者的动作或经由Journal Playback hook filter函数）函数）Journal Playback HookFilter Function当键盘消息被放到系统消息队当键盘消息被放到系统消息队列时列时，系统异步按键状态数组，系统异步按键状态数组会被更新。会被更新。就在键盘讯息被送到就在键盘讯息被送到keyboard hook filter function之前之前? ? 刻，线程同步按键状态刻，线程同步按键状态数组数组会被更新会被更新虚拟化输入队

11、列虚拟化输入队列Mouse HookFilter FunctionHardware HookFilter FunctionJournal Record HookFilter FunctionKeyboard HookFilter FunctionCBT HookFilter FunctionGet Message HookFilter Function *系统线程执行系统线程执行挂上hook的线程执行挂上hook的线程执行调用调用GetMessage或或PeekMessage的的线程执行线程执行*只有当任何已经安装好的键*只有当任何已经安装好的键盘、鼠标或硬件盘、鼠标或硬件hooks不返回1不返回1时，时，GetMessage Hook 的的filter function才会被调用才会被调用Hook概览nMonitor实例n源码KeyBoardHookn实例KeyCountn源码SHELLHOOKnAppLog