钩子的类型和实现

1、钩子的类型和实现   Windows系统是建立在事件驱动的机制上的，说穿了就是整个系统都是通过消息的传递来实现的。而钩子是Windows系 统中非常重要的系统接口，用它可以截获并处理送给 其他应用程序的消息，来完成普通应用程序难以实现的功能。钩子可以监视系统或进程中的各种事件消息，截获发往目标窗口的消息并进行处理。这样，我们就可以 在系统中安装自定义的钩子，监视系统中特定事件的发生，完成特定的功能，比如截获键盘、鼠标的输入，屏幕取词，日志监视等等。可见，利用钩子可以实现许多 特殊而有用的功能。因此，对于高级编程人员来说，掌握钩子的编程方法是很有必要的。钩子的类型一 按事件分类，有如下

2、的几种常用类型（1） 键盘钩子和低级键盘钩子可以监视各种键盘消息。（2） 鼠标钩子和低级鼠标钩子可以监视各种鼠标消息。（3） 外壳钩子可以监视各种Shell事件消息。比如启动和关闭应用程序。（4） 日志钩子可以记录从系统消息队列中取出的各种事件消息。（5） 窗口过程钩子监视所有从系统消息队列发往目标窗口的消息。此外，还有一些特定事件的钩子提供给我们使用，不一一列举。下面描述常用的Hook类型：1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks      WH_CALLWNDPROC和WH_CALLWNDPROCRE

3、T Hooks使你可以监视发送到窗口过程的消息。系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC Hook子程，并且在窗口过程处理完消息之后调用WH_CALLWNDPROCRET Hook子程。      WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到Hook子程。CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与这个消息关联的消息参数。2、WH_CBT Hook      在以下事件之前，系统都会调用W

4、H_CBT Hook子程，这些事件包括：    1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；    2. 完成系统指令；    3. 来自系统消息队列中的移动鼠标，键盘事件；    4. 设置输入焦点事件；    5. 同步系统消息队列事件。Hook子程的返回值确定系统是否允许或者防止这些操作中的一个。3、WH_DEBUG Hook      在系统调用系统中与其他Hook关

5、联的Hook子程之前，系统会调用WH_DEBUG Hook子程。你可以使用这个Hook来决定是否允许系统调用与其他Hook关联的Hook子程。4、WH_FOREGROUNDIDLE Hook      当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务。当应用程序的前台线程大概要变成空闲状态时，系统就会调用WH_FOREGROUNDIDLE Hook子程。5、WH_GETMESSAGE Hook      应用程序使用WH_GETMESSA

6、GE Hook来监视从GetMessage or PeekMessage函数返回的消息。你可以使用WH_GETMESSAGE Hook去监视鼠标和键盘输入，以及其他发送到消息队列中的消息。6、WH_JOURNALPLAYBACK Hook      WH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可以使用这个Hook回放通过使用WH_JOURNALRECORD Hook记录下来的连续的鼠标和键盘事件。只要WH_JOURNALPLAYBACK Hook已经安装，正常的鼠标和键盘事件就是无效的。 

7、60;    WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定Hook一样使用。       WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处理来自回放Hook当前消息之前需要等待多长时间（毫秒）。这就使Hook可以控制实时事件的回放。      WH_JOURNALPLAYBACK是system-wide local hooks，它們不會被注射到任何行程位址空間。（估计按键精灵是用这个hook做的

8、） Page7、WH_JOURNALRECORD Hook      WH_JOURNALRECORD Hook用来监视和记录输入事件。典型的，可以使用这个Hook记录连续的鼠标和键盘事件，然后通过使用WH_JOURNALPLAYBACK Hook来回放。      WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定Hook一样使用。      WH_JOURNALRECORD是system-wide local hook

9、s，它們不會被注射到任何行程位址空間。8、WH_KEYBOARD Hook      在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and WM_KEYUP消息，这些消息通过GetMessage or PeekMessage function返回。可以使用这个Hook来监视输入到消息队列中的键盘消息。9、WH_KEYBOARD_LL Hook      WH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。10、WH_MOUSE Hook

10、0;       WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。使用这个Hook监视输入到消息队列中的鼠标消息。11、WH_MOUSE_LL Hook        WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks        WH_MSGF

11、ILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动条，消息框，对话框消息并且发现用户使用ALT+TAB or ALT+ESC 组合键切换窗口。        WH_MSGFILTER Hook只能监视传递到菜单，滚动条，消息框的消息，以及传递到通过安装了Hook子程的应用程序建立的对话框的消息。        WH_SYSMSGFILTER Hook监视所有应用程序消息。    

12、60;   WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间过滤消息，这等价于在主消息循环中过滤消息。通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这个函数，应用程序能够在模式循环期间使用相同的代码去过滤消息，如同在主消息循环里一样。NextPage13、WH_SHELL Hook         外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是激活的并且当顶层窗口建立或者

13、销毁时，系统调用WH_SHELL Hook子程。         WH_SHELL 共有钟情況：         1. 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁；         2. 当Taskbar需要重画某个按钮；         3. 当系统需要显示关于Taskbar的一个程序的最小化形式；   

14、      4. 当目前的键盘布局状态改变；         5. 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。         按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接收WH_SHELL消息之前，应用程序必须调用SystemParametersInfo function注册它自己。 Page以上是13种常用的hook类型！ /构造字符串 dc.TextOut(0,0,

15、str); /显示字符串 (2)childview.cpp文件中定义全局的鼠标钩子函数。 LRESULT CALLBACK MouseProc (int nCode, WPARAM wParam, LPARAM lParam) /是鼠标移动消息 if(wParam=WM_MOUSEMOVE|wParam =WM_NCMOUSEMOVE) point=(MOUSEHOOKSTRUCT )lParam)>pt; /取鼠标信息 pView>Invalidate(); /窗口重画 NextPage return CallNextHookEx(hHook,nCode,wParam,lPara

16、m); /传递钩子信息 (3)CChildView类的构造函数中安装钩子。 CChildView:CChildView() pView=this;/获得输出窗口指针 hHook=SetWindowsHookEx(WH_MOUSE,MouseProc,0,GetCurrentThreadId(); (4)CChildView类的析构函数中卸载钩子。 CChildView:CChildView() if(hHook) UnhookWindowsHookEx(hHook); HWND sharedwnd=NULL;/共享数据 #pragma data_seg() 仅定义一个数据段还不能达到共享数据的

17、目的，还要告诉编译器该段的属性，有两种方法可以实现该目的（其效果是相同的），一种方法是在.DEF文件中加入如下语句： SETCTIONS shareddata READ WRITE SHARED 另一种方法是在项目设置链接选项中加入如下语句： /SECTION:shareddata,rws 好了，准备知识已经学完了，让我们开始编写个全局的钩子程序吧！ 由于全局钩子函数必须包含在动态链接库中，所以本例由两个程序体来实现。         1建立钩子Mousehook.DLL (1)选择MFC AppWizard(DLL)创建项目Mous

18、ehook； Page(2)选择MFC Extension DLL（共享MFC拷贝）类型； (3)由于VC5没有现成的钩子类，所以要在项目目录中创建Mousehook.h文件，在其中建立钩子类： class AFX_EXT_CLASS Cmousehook:public CObject public: Cmousehook(); /钩子类的构造函数 Cmousehook(); /钩子类的析构函数 BOOL starthook(HWND hWnd); /安装钩子函数 BOOL stophook(); 卸载钩子函数 ; (4)在Mousehook.app文件的顶部加入#include"M

19、ousehook.h"语句； (5)加入全局共享数据变量： #pragma data_seg("mydata") HWND glhPrevTarWnd=NULL; /上次鼠标所指的窗口句柄 HWND glhDisplayWnd=NULL; /显示目标窗口标题编辑框的句柄 HHOOK glhHook=NULL; /安装的鼠标钩子句柄 HINSTANCE glhInstance=NULL; /DLL实例句柄 #pragma data_seg() (6)在DEF文件中定义段属性： SECTIONS mydata READ WRITE SHARED (7)在主文件Mous

20、ehook.cpp的DllMain函数中加入保存DLL实例句柄的语句： NextPageDllMain(HINSTANCE hInstance, DWORD dwReason, LPVOID lpReserved) /如果使用lpReserved参数则删除下面这行 UNREFERENCED_PARAMETER(lpReserved); if (dwReason = DLL_PROCESS_ATTACH) TRACE0("MOUSEHOOK.DLL Initializing!n"); /扩展DLL仅初始化一次 if (!AfxInitExtensionModule(Mouse

21、hookDLL, hInstance) return 0; new CDynLinkLibrary(MousehookDLL); /把DLL加入动态MFC类库中 glhInstance=hInstance; /插入保存DLL实例句柄 else if (dwReason = DLL_PROCESS_DETACH) TRACE0("MOUSEHOOK.DLL Terminating!n"); /终止这个链接库前调用它 AfxTermExtensionModule(MousehookDLL); return 1; (8)类Cmousehook的成员函数的具体实现： Cmouseh

22、ook:Cmousehook() /类构造函数 Cmousehook:Cmousehook() /类析构函数 stophook(); BOOL Cmousehook:starthook(HWND hWnd) /安装钩子并设定接收显示窗口句柄 BOOL bResult=FALSE; glhHook=SetWindowsHookEx(WH_MOUSE,MouseProc,glhInstance,0); if(glhHook!=NULL) bResult=TRUE; glhDisplayWnd=hWnd; /设置显示目标窗口标题编辑框的句柄 return bResult; BOOL Cmouseho

23、ok:stophook() /卸载钩子 BOOL bResult=FALSE; if(glhHook) bResult= UnhookWindowsHookEx(glhHook); if(bResult) glhPrevTarWnd=NULL; glhDisplayWnd=NULL;/清变量 glhHook=NULL; return bResult; (9)钩子函数的实现： LRESULT WINAPI MouseProc(int nCode,WPARAM wparam,LPARAM lparam) LPMOUSEHOOKSTRUCT pMouseHook=(MOUSEHOOKSTRUCT F

24、AR *) lparam; if (nCode>=0) Page HWND glhTargetWnd=pMouseHook->hwnd; /取目标窗口句柄 HWND ParentWnd=glhTargetWnd; while (ParentWnd !=NULL) glhTargetWnd=ParentWnd; ParentWnd=GetParent(glhTargetWnd); /取应用程序主窗口句柄 if(glhTargetWnd!=glhPrevTarWnd) char szCaption100; GetWindowText(glhTargetWnd,szCaption,100

25、); /取目标窗口标题 if(IsWindow(glhDisplayWnd) SendMessage(glhDisplayWnd,WM_SETTEXT,0,(LPARAM)(LPCTSTR)szCaption); glhPrevTarWnd=glhTargetWnd; /保存目标窗口 return CallNextHookEx(glhHook,nCode,wparam,lparam); /继续传递消息 (10)编译项目生成mousehook.dll。 2创建钩子可执行程序 (1)用MFC的AppWizard(EXE)创建项目Mouse； (2)选择“基于对话应用”并按下“完成”键； (3)编辑对话框，删除其中原有的两个按钮，加入静态文本框和编辑框，用鼠标右键点击静态文本框，在弹出的菜单中选择“属性”，设置其标题为“鼠标所在的窗口标题”； (4)在Mouse.h中加入对Mousehook.h的包含语句#Include".MousehookMousehook.h"； (5)在CMouseDlg.h的CMouseDlg类定义中添加私有数据成员： CMouseHook m_hook;/加入钩子类作为数据成员 (6)修改CmouseDlg:OnInitDialog()函数：