钩子

关键字 HOOK 钩子 应用 技术
原作者姓名 张增强

介绍
钩子(Hook)技术，以其强大的功能，被广泛的应用于系统监视，消息管理。他可以在消息到达目标窗口以前截获消息，并任意的处理系统消息，达到一般应用程序无法达到的功能。本文主要从钩子的种类，作用，应用入手，概要的介绍了钩子技术的应用和作用。并附加一个SHELL钩子的例子和过程。

读者评分 3 评分次数 1

正文
当你创建一个钩子时，WINDOWS系统会创建一个数据结构，该结构包含了您创建的钩子的信息，安装钩子则是把该结构体插入到系统钩子列表中去，注意：新插入的放置到旧的前面。当指定的钩子事件被触发后，局部钩子只需要调用进程中的钩子函数来预处理事件，全局钩子则需要把处理插入到其他地址空间，要做到这一点，就需要有一个动态连接库，把钩子函数放到库中。但有两个是例外，就是日志钩子和日志回放钩子，它是一种比较特殊的钩子，它可以挂载到系统范围内的任何进程中，而且不需要另外编写一个dll来映射到其他进程的内存空间之中（关于日志钩子，以后有机会再详细介绍）。
一、钩子的分类：
安装不同的钩子，可以截获监视不同的消息类型，有针对的对所需要的消息进行过滤和处理，钩子主要分以下几类：

   WH_CALLWNDPROC        发送到窗口的消息。由SendMessage触发
   WH_CALLWNDPROCRET     发送到窗口的消息。由SendMessage处理完成返回时触发
   WH_GETMESSAGE         发送到窗口的消息。GetMessage或PeekMessage触发
   WH_KEYBROAD           键盘钩子，键盘触发消息。WM_KEYUP或WM_KEYDOWN消息
   WH_KEYBROAD_LL        地层键盘钩子
   WH_MOUSE              鼠标钩子,查询鼠标事件消息
   WH_MOUSE_LL           低层键盘钩子
   WH_HARDWARE           非鼠标、键盘消息时
   WH_MSGFILTER          对话框、菜单或滚动条要处理一个消息时。该钩子是局部的。
   WH_SYSMSGFILTER       同WH_MSGFILTER一样，系统范围的。
   WH_DEBUG              调试钩子，用来给钩子函数除错
   WH_JOURNALRECORD      监视和记录输入事件
   WH_JOURNALPLAYBACK    回放用WH_JOURNALRECORD记录事件
   WH_SHELL              外壳钩子，当关于WINDOWS外壳事件发生时触发.
   WH_CBT                当基于计算机的训练(CBT)事件发生时
   WH_FOREGROUNDIDLE     前台应用程序线程变成空闲时候，钩子激活。
                  

二、钩子的类型：
   全局钩子：全局钩子可以挂钩其他进程的事件，有两种：基于线程的，它将捕获其它进程中某一特定线程的事件。简言之，就是可以用来观察其它进程中的某一特定线程将发生的事件。2，系统范围的，将捕捉系统中所有进程将发生的事件消息。
   局部钩子：仅钩挂您自己进程的事件。

三、安装钩子：
　　SetWindowsHookEx
    函数原形：HHOOK SetWindowsHookEx(
                       int       idHook,    // 钩子类型，见[一]
                       HOOKPROC  lpfn,      // 钩子函数地址
                       INSTANCE  hMod,      // 钩子所在的实例的句柄，
                       DWORD     dwThreadId // 钩子所监视的线程的线程号
                      )
    hMod: 对于线程序钩子，参数传NULL；对于系统钩子：参数为钩子DLL的句柄
　　dwThreadId：对于全局钩子，该参数为NULL。
　　
    返回：成功：返回SetWindowsHookEx返回所安装的钩子句柄；
          失败：NULL；

四、卸载钩子：
    UnhookWindowsHookEx
　　函数原形：BOOL UnhookWindowsHookEx(
                       HHOOK      hhk       // 要卸载的钩子句柄。
                      )

五、钩子函数：
    MyHookProc
　　钩子函数是回调函数。当安装的钩子被钩到指定的事件消息后，系统会自动调用钩子函数进行处理。
    定义如下：
        LRESULT WINAPI MyHookProc(
                         int     nCode ,     // 指定是否需要处理该消息
                         WPARAM  wParam,     // 包含该消息的附加消息
                         LPARAM  lParam      // 包含该消息的附加消息
                        )
六、调用下一个钩子
    CallNextHookEx
    既然WINDOWS的钩子结构都保存在一个链表里边，很明显，消息将会被一个个往下传递，最后到达目标窗口，所以，我们处理了以后，由责任将消息传递给下一个钩子。当然你也可以不，但我还是建议您继续传递下去。
    函数定义如下：
    LRESULT CallNextHookEx(
                          HHOOK   hhk,      // 是您自己的钩子函数的句柄。用该句柄可以遍历钩子链
                          int     nCode,    // 把传入的参数简单传给CallNextHookEx即可
                          WPARAM  wParam,   // 把传入的参数简单传给CallNextHookEx即可
                          LPARAM  lParam    // 把传入的参数简单传给CallNextHookEx即可
                         );


六、使用例子
    本例安装的是一个SHELL钩子,实现对系统操作的监视和管理.主要功能有:
    1. 监视系统中应用程序的运行,并记录名称,程序打开时间和关闭时间.
    2. 禁止一些程序的运行,例如计算器,游戏,等等,无论用户怎么操作,程序都不会被打开.
    
    主要文件:
        manage.dll  // 钩子动态库文件
        manage.exe  // 可执行文件本身
        manage.txt  // 操作日志文件
        manage.ini  // 禁止运行的窗口名称    
        manage.txt文件运行情况如图:
        
    
    程序介绍:
    1.建立.DLL文件,这是一个全局钩子动态链接库,在这里实现了对SHEEL的Window Create的挂钩.
        1. 新建一个MFC AppWizard(dll)工程Manage.在第二步选择建立一个MFC扩展DLL.
        2. 新建一个基于CObject类的CManagerHook类,增加两个Public函数:BOOL StartHook(HWND hWnd)和BOOL StopHook().
        3. 建立全局共享数据段.如下:
            #pragma data_seg("ManagerShare")
            HHOOK      g_hkShell   = NULL;  // SHELL 钩子句柄
            HINSTANCE  g_hInstance = NULL;  // DLL实例句柄
            HWND       g_hWndMain  = NULL;    // EXE消息处理窗口
            #pragma data_seg()
        4. StartHook和StopHook的处理如下:
               BOOL CManagerHook::StopHook()
               {
                   return UnhookWindowsHookEx(g_hkShell);
               }

               BOOL CManagerHook::StartHook(HWND hWnd)
               {
                   if(hWnd)
             {
                 g_hkShell = SetWindowsHookEx(WH_SHELL, ShellHookProc, g_hInstance, 0);
                 g_hWndMain = hWnd;
             }
             return g_hkShell ? TRUE : FALSE;
               }
         5. 加入全局钩子函数.
               LRESULT WINAPI ShellHookProc(int nCode, WPARAM wParam, LPARAM lParam)
               {
              if(g_hWndMain)
              {
             if(nCode == HSHELL_WINDOWCREATED)
             {
            PostMessage(g_hWndMain, WM_USER + 100, wParam, lParam);
              }
               }
               return CallNextHookEx(g_hkShell, nCode, wParam, lParam);
                }
          另外,在Manage.cpp文件的DLL入口函数,需要一下处理:

               extern HINSTANCE g_hInstance;

               extern "C" int APIENTRY
               DllMain(HINSTANCE hInstance, DWORD dwReason, LPVOID lpReserved)
               {
              ... ...
         new CDynLinkLibrary(ManagerDLL);
         g_hInstance = hInstance;  // Get Handle here.
              ... ...
               }
           在Manage.def中加入下面一句:
               SECTIONS
              ManagerShare READ WRITE SHARED

    1.建立.EXE文件.
          exe文件最关键的是对接受到的消息的处理和过滤.DLL通过POSTMESSAGE,发送消息到EXE文件,其中传入的wParam和lParam两个参数,针对WH_SHELL的HSHELL_WINDOWCREATED,wParam传递的是打开创建的窗口名称,而lParam无效(0).

七、注意事项：
    很明显，使用钩子将会影响你程序和系统的性能，特别是全局钩子被安装后，因为每当有一个挂钩的事件发生，都会调用你的钩子函数进行早期处理，并且，因为你的钩子是对时间的先期处理，这个时候，时间本身还没有到达它的目标窗口，所以如果你的处理本速除了问题，会影响其他进程。所以，一定要记住慎用钩子，用完一定要及时卸载。


正文完