http之Hook理解

矫情吗；* 2022-05-15 11:53 50阅读 0赞

# hook函数教程（一）什么是钩子 #

一、什么是钩子

我们可以首先从字面上了解钩子，钩子是干什么的呢？日常生活中，我们的钩子是用来钩住某种东西的，比如，说，鱼钩是用来钓鱼的，一旦鱼咬了钩，钩子就一直钩住鱼了，任凭鱼在水里怎么游，也逃不出鱼钩的控制。同样的，Windows的钩子Hook也是用来钩东西的，比较抽象的是他是用来钩Windows事件或者消息的。最常见的就是鼠标和键盘钩子，用Hook钩子钩住鼠标、键盘，当你的鼠标、键盘有任何操作时，通过Hook就能知道他们都做了什么了，多么形象啊，把老鼠Mouse钩住了，不管你干什么，都逃不过我钩子Hook的手掌心。

技术上讲，钩子（Hook）是Windows消息处理机制的一个很重要的内容，谁叫Windows是基于消息的呢。应用程序可以通过钩子机制截获处理Window消息或是其他一些特定事件。

我们可以在同一个钩子上挂很多东西。

想起参加工作前要求被体检的时候，当你被登记之后，按照你的登记表上的顺序，就等着到各个科室一个一个的去检查吧。每一个科室都有决定你是否继续的可能，只有通过了这个，你才可以到下一个去，如果没有通过，那么，你是看不到最后的大夫了，可以直接over回家了。

如果把体检比喻为事件的话，当事件发生时，应用程序(体检过程)可以在相应的钩子Hook上设置多个钩子子程序（Hook Procedures）（多个科室的检查），由其组成一个与钩子相关联的指向钩子函数的指针列表（钩子链表）(体检表，确定了你要走的顺序)。当钩子所监视的消息出现时（你拿着表格来体检了），Windows（导诊员）首先将其送到调用链表中所指向的第一个钩子函数中(体检表上第一个科室，一般是身高体重吧，呵呵),钩子函数将根据其各自的功能（每个科室检查的项目不一样啊）对消息进行监视（有的大夫就随便看看了事），、修改（碰到好心的大夫还可以帮你往好里添点呢，呵呵）和控制（有的大夫好严格啊），并在处理完成后（当然有的大夫就直接把你刷下了，回家吧，没有下一个了）把消息传递给下一钩子函数（下一个项目的科室，当然，也可以强制消息的传递，直接打发你回家）直至到达钩子链表的末尾（检查完了！）。在钩子函数交出控制权后，被拦截的消息最终仍将交还给窗口处理函数（好了，拿着表去上班吧）。

虽然钩子函数对消息的过滤将会略加影响系统的运行效率，但在很多场合下通过钩子对消息的过滤处理可以完成一些其他方法所不能完成的特殊功能。

二、比较专业的对钩子的技术性理解

钩子(Hook)，是Windows消息处理机制的一个平台,应用程序可以在上面设置子程以监视指定窗口的某种消息，而且所监视的窗口可以是其他进程所创建的。当消息到达后，在目标窗口处理函数之前处理它。钩子机制允许应用程序截获处理window消息或特定事件。

Windows系统是建立在事件驱动的机制上的，说穿了就是整个系统都是通过消息的传递来实现的。而钩子是Windows系统中非常重要的系统接口，用它可以截获并处理送给其他应用程序的消息，来完成普通应用程序难以实现的功能。钩子可以监视系统或进程中的各种事件消息，截获发往目标窗口的消息并进行处理。这样，我们就可以在系统中安装自定义的钩子，监视系统中特定事件的发生，完成特定的功能，比如截获键盘、鼠标的输入，屏幕取词，日志监视等等。可见，利用钩子可以实现许多特殊而有用的功能。

钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以加工处理（改变）该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。

一个Hook都有一个与之相关联的指针列表，称之为钩子链表，由系统来维护。这个列表的指针指向指定的，应用程序定义的，被Hook子程调用的回调函数，也就是该钩子的各个处理子程。当与指定的Hook类型关联的消息发生时，系统就把这个消息传递到Hook子程。一些Hook子程可以只监视消息，或者修改消息，或者停止消息的前进，避免这些消息传递到下一个Hook子程或者目的窗口。最近安装的钩子放在链的开始，而最早安装的钩子放在最后，也就是后加入的先获得控制权。 zdwork.cn

Windows 并不要求钩子子程的卸载顺序一定得和安装顺序相反。每当有一个钩子被卸载，Windows 便释放其占用的内存，并更新整个Hook链表。如果程序安装了钩子，但是在尚未卸载钩子之前就结束了，那么系统会自动为它做卸载钩子的操作。

大多数人或者网上文章认为全局钩子都要依赖于一个DLL才能正常工作的，常常会看到很多人在论坛上长期争论一个话题：“全局钩子一定要在DLL里面吗？”。实际上这里有一个概念的问题，究竟上面提到的全局钩子是指什么。通过对上面各种钩子的作用域的理解就会发现这个问题的答案。 本文来自智动软件zdwork.cn

上面一共提到了15种钩子，他们的作用域请看下表：

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;"> Hook&nbsp; </td> 
 <td style="vertical-align:top;"> Scope </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_CALLWNDPROC </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_CALLWNDPROCRET </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_CBT </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_DEBUG </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_FOREGROUNDIDLE </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_GETMESSAGE </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_JOURNALPLAYBACK </td> 
 <td style="vertical-align:top;"> Global only </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_JOURNALRECORD </td> 
 <td style="vertical-align:top;"> Global only&nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_KEYBOARD </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_KEYBOARD_LL&nbsp; </td> 
 <td style="vertical-align:top;"> Global only </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_MOUSE </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_MOUSE_LL </td> 
 <td style="vertical-align:top;"> Global only </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_MSGFILTER </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_SHELL </td> 
 <td style="vertical-align:top;"> Thread or global </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> WH_SYSMSGFILTER </td> 
 <td style="vertical-align:top;"> Global only </td> 
 </tr> 
 </tbody> 
</table>

表一：钩子作用域

WH\_JOURNALPLAYBACK，WH\_JOURNALRECORD，WH\_KEYBOARD\_LL，WH\_MOUSE\_LL、WH\_SYSMSGFILTER这5种钩子本身的作用域就是全局的，不管钩子是直接写在应用程序的代码里还是放在DLL中，他们都能够钩住系统的消息。剩下的10种钩子，他们的作用域既可以是线程的又可以是全局的，当将相应的钩子直接写在应用程序的代码中时，他们只能捕获当前线程上下文的消息。那么他们如何实现捕获全局消息的功能呢？当把钩子写入到一个单独的DLL中再引用后，系统自动将该DLL映射到受钩子函数影响的所有进程的地址空间中，即将这个DLL注入了那些进程，从而达到捕获全局消息的目的。相对来说，前面5种钩子本身就是全局的，是不需要注入的。 智动软件

因此，对于前面问题的答案就是：要实现捕获全局消息功能的钩子，是否要写在单独的DLL里面，取决于钩子的类型以及相应的作用域。

系统必须要处理每个消息，而钩子的使用增加了系统对每个消息要执行的处理的数量，因此，钩子会减慢系统。应该仅仅在必须的时候才安装钩子，并且尽可能早的将其卸载掉。

三、Hook Chain(钩子链表)

系统支持很多不同种类的钩子，每种类型提供对消息处理机制里的某一不同方面的访问。例如，应用程序可以使用WH\_MOUSE Hook监视鼠标消息的传递。

系统为每类钩子维护着一个独立的钩子链表。钩子链表是一个指针的列表，其中的指针指向特定的、应用程序定义的回调函数，该函数被叫做钩子子程（hook procedure）。当与某种特定类型的钩子相关联（钩住）的消息发生时，系统将消息一个接一个地传递给钩子链中的每一个钩子子程(hook procedure)，钩子子程能够采取的动作取决于涉及的钩子的类型。某些类型的钩子子程仅仅能监视消息；另外一些就能够修改消息或者终止消息在钩子链表中的前进，这样就阻止了消息到达下一个钩子子程或者目标窗体。

这里有几个概念上的翻译，主要有：

Hook Chain ： 钩子链表

hook procedures ： 钩子子程（即得到消息后进行处理的程序段）

如果对于同一事件既安装了线程勾子又安装了全局勾子，那么系统会自动先调用线程勾子，然后调用全局勾子。

最近学习hook，看了几个教程：

1）http://blog.sina.com.cn/s/articlelist\_1585708262\_3\_1.html

2）http://www.lellansin.com/windows-api-%E6%95%99%E7%A8%8B%EF%BC%88%E4%B8%83%EF%BC%89-hook-%E9%92%A9%E5%AD%90%E7%9B%91%E5%90%AC%EF%BC%88%E7%BC%96%E5%86%99%E4%B8%AD%EF%BC%89.html

3）http://blog.csdn.net/camly/article/details/1752798