VB.Net中HOOK的使用方法

川长思鸟来 2022-06-10 13:49 254阅读 0赞

由于Hook种类较多，本文中以最常用的键盘Hook为例进行分析。  
  
　　一、先来看一下在vb中是如何实现的  
  
　　截的是空格键。表现的目标是：一个form，上面有一个textbox，不管焦点是否落在textbox里，按空格键，不会在textbox中输入一个空格，而是变成在textbox中写入一句话：“HOOK成功！”  
  
　　1.在一个Module中写入下列代码：  
  
　　调用的API的申明：

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Declare Function SetWindowsHookEx Lib "user32" Alias "SetWindowsHookExA" (ByVal idHook As Long, ByVal lpfn As Long, ByVal hmod As Long, ByVal dwThreadId As Long) As Long</span></td> 
  </tr> 
 </tbody> 
</table>

函数说明：本函数是用于启动Hook设置。  
  
　　idHook是Hook的类型，即处理的消息类型。  
  
　　Lpfn是Hook子程（函数或过程）的地址指针。如果dwThreadId参数为0或是一个由别的进程创建的线程的标识，lpfn必须指向DLL中的Hook子程。除此以外，lpfn可以指向当前进程的一段Hook子程代码（我们利用的就是这个性质）。  
  
　　hMod是应用程序实例的句柄，标识包含lpfn所指的子程的DLL。如果dwThreadId 标识当前进程创建的一个线程，而且子程代码位于当前进程，hMod必须为NULL。  
  
　　dwThreadId是与安装Hook子程相关联的线程的标识符，如果为0，Hook子程与所有的线程关联。 返回值：函数成功则返回Hook子程的句柄，失败返回NULL。

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Declare Function UnHookWindowsHookEx Lib "user32" (ByVal hHook As Long) As Long</span></td> 
  </tr> 
 </tbody> 
</table>

函数说明： 本函数是解除Hook之用。hHook是Hook函数的句柄。

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Declare Function CallNextHookEx Lib "user32" (ByVal hHook As Long, ByVal ncode As Long, ByVal wParam As Long, lParam As Any) As Long</span></td> 
  </tr> 
 </tbody> 
</table>

函数说明：本函数的作用是将当前Hook链中的Hook信息传递给下一个Hook。  
  
　　hHook是当前Hook的句柄，一个应用程序接收这个句柄，作为先前调用SetWindowsHookEx函数的结果。  
  
　　nCode指的是传递到当前Hook过程的Hook代码，下一个Hook过程使用这段代码去决定如何处理Hook信息。  
  
　　wParam指传递给当前Hook过程的wParam值，它的具体含义是由当前Hook链中的相关Hook的类型决定的。  
  
　　lParam指传递给当前Hook过程的lParam值，它的具体含义是由当前Hook链中的相关Hook的类型决定的。  
  
　　2. 定义的常量是：

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Public hnextHookproc As Long<br> <br> Public Const WH_KEYBOARD = 2　‘这个是表明Hook的种类是键盘Hook<br> <br> Public Const PM_KEY_SPACE = &amp;H20　‘空格键</span></td> 
  </tr> 
 </tbody> 
</table>

3.代码段

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Public Sub UnHookKBD()　　‘解键盘HOOK函数<br> 　If hnextHookproc &lt;&gt; 0 Then<br> 　　UnHookWindowsHookEx hnextHookproc<br> 　　hnextHookproc = 0<br> 　End If<br> End Sub<br> <br> <br> Public Function EnableKBDHook()　‘设置键盘HOOK<br> 　If hnextHookproc &lt;&gt; 0 Then<br> 　　Exit Function<br> 　End If<br> <br> 　hnextHookproc = SetWindowsHookEx(WH_KEYBOARD, AddressOf MyKBHFunc, App.hInstance, 0)<br> <br> 　If hnextHookproc &lt;&gt; 0 Then<br> 　　EnableKBDHook = hnextHookproc<br> 　End If<br> End Function<br> <br> <br> Public Function MyKBHFunc(ByVal iCode As Long, ByVal wParam As Long, ByVal lParam As Long) As Long<br> <br> 　MyKBHFunc = 0<br> 　If iCode &lt; 0 Then<br> 　　MyKBHFunc = CallNextHookEx(hnextHookproc, iCode, wParam, lParam)<br> 　　Exit Function<br> 　End If<br> <br> 　If wParam = PM_KEY_SPACE Then ''偵測 有沒有按到空格鍵<br> 　　MyKBHFunc = 1<br> 　‘加入自己的代码，用于表明响应<br> 　　form1.text1.text=”Hook成功！”<br> 　End If<br> End Function<br> </span></td> 
  </tr> 
 </tbody> 
</table>

4.在Form中的代码很简单：

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Private Sub Form_Load()<br> 　Call EnableKBDHook<br> End Sub<br> <br> Private Sub Form_Unload(Cancel As Integer)<br> 　Call UnHookKBD<br> End Sub</span></td> 
  </tr> 
 </tbody> 
</table>

现在在form窗体状态下，敲空格键，就会响应你在MyKBHFunc函数中写的代码了。  
  
　　1. 新建一个module，先写一下API的声明：

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Declare Function SetWindowsHookEx Lib "user32" Alias "SetWindowsHookExA" (ByVal idHook As HookType, ByVal lpfn As HOOKPROC, ByVal hmod As Integer, ByVal dwThreadId As Integer) As Integer<br> <br> Declare Function UnhookWindowsHookEx Lib "user32" (ByVal hHook As Integer) As Integer<br> <br> Declare Function CallNextHookEx Lib "user32" (ByVal hHook As Integer, ByVal ncode As Integer, ByVal wParam As Integer, ByVal lParam As Integer) As Integer</span></td> 
  </tr> 
 </tbody> 
</table>

和上面VB6里的声明比一下，你发现了什么？是不是数据类型发生了变化？integer代替了long。这个好理解，因为vb.net中integer定义为32位(4字节)的整数，值的范围是-231到231（首位是符号位），这与vb6中long的定义是一致的，因此，我们必须做一下这样的转换。  
  
　　等等，还有一个变化，就是SetWindowsHookEx的参数lpfn的类型变成了HOOKPROC，那……那是什么意思。噢，wait,我再补一句声明先：  
  
Public Delegate Function HOOKPROC(ByVal nCode As Integer, ByVal wParam As Integer, ByVal lParam As Integer) As Integer  
  
　　看出来什么了吗？HOOKPROC其实就是一个函数声明，但是前面有一个Delegate（委托）是什么意思？为什么在vb.net中不能用integer表示lpfn的类型了呢？我们回头看一下vb6中调用API的句子：

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">hnextHookproc = SetWindowsHookEx(WH_KEYBOARD, AddressOf MyKBHFunc, App.hInstance, 0)</span></td> 
  </tr> 
 </tbody> 
</table>

Lpfn在这里被表示为AddressOf MyKBHFunc，即说明Hook发生作用时，调用的子程是MyKBHFunc。也就是说lpfn表示的是函数或过程的地址。在vb6中用long类型就可以记录下函数或过程的地址。  
  
　　在vb.net中，有了一点小变化喽，AddressOf 运算符创建的是一个指向指定的子程的子程委托。当指定的子程是一个实例方法时，子程委托同时引用实例和方法，以便当调用该子程委托时，调用指定实例的指定方法。AddressOf 运算符可以用作委托构造函数的操作数，或可以用在编译器能够确定委托类型的上下文中。  
  
　　所以，正是由于Addressof创建的不再只是简单的函数指针了，而是子程委托！打住先，什么是委托？（^?^）  
  
　　解释一下：事件是对象发送的消息，以发信号通知操作的发生。操作可能是由用户交互（例如鼠标单击）引起的，也可能是由某些其他的程序逻辑触发的。引发（触发）事件的对象叫做事件发送方。捕获事件并对其作出响应的对象叫做事件接收方。在事件通讯中，事件发送方类不知道哪个对象或方法将接收到（处理）它引发的事件。所需要的是在源和接收方之间存在一个媒介（或类似指针的机制）。.NET 框架定义了一个特殊的类型（Delegate），该类型提供函数指针的功能。看，这里提到了.net框架，所以C\#等vs.net中的语言都可以有这个类型喽。  
  
　　委托就是可用于调用其他对象方法的对象。与其他的类不同，委托类具有一个签名，并且它只能对与其签名匹配的方法进行引用。这样，委托就等效于一个类型安全函数指针或一个回调。因为它们与其他编程语言中所使用的函数指针相似。但不同于函数指针，Visual Basic.NET 委托是基于 System.Delegate 类的引用类型，它可以引用共享方法—无需特定即可调用的方法—和实例方法。（具体内容请自已去查阅一下MSDN或等我的后续文章再说明）

回过头来总结一下，也就是说，Addressof创建的是DelegateType（委托类型）。而不是简单的子程指针了，所以它的表示法就不是地址类型的long了，而是与调用的子程相一致的委托类型表示形式。因此，我定义了一个与MyKBHFunc声明同形的委托函数HOOKPROC来表示lpfn的类型。  
  
　　继续，我又接着声明了一个API：

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Declare Function GetCurrentThreadId Lib "kernel32" Alias "GetCurrentThreadId" () As Integer</span></td> 
  </tr> 
 </tbody> 
</table>

函数说明：本函数是用于获取当前线程一个唯一的线程标识符。返回值：当前的线程标识符。这个有什么用，一会再说，反正是个简单的问题，不如卖个关子，哈哈……（不要砸我）  
  
　　2. 定义的常量是：

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Public hnextHookproc As Long<br> Public Const WH_KEYBOARD = 2　‘这个是表明Hook的种类是键盘Hook<br> Public Const PM_KEY_SPACE = &amp;H20　‘空格键</span></td> 
  </tr> 
 </tbody> 
</table>

或者，实际上也是，我在程序中对上面的第二句写法改变了一下，也没什么了，就是多交待一点东西给朋友们嘛：

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Public Enum HookType<br> 　WH_KEYBOARD = 2<br> End Enum</span></td> 
  </tr> 
 </tbody> 
</table>

定义成了一个枚举。其实Hook的种类真的很多，比如有：WH\_CALLWNDPROC、WH\_CALLWNDPROCRET、WH\_CBT 、WH\_DEBUG、WH\_GETMESSAGE等等。所以你不妨写一个枚举，以达到一劳永逸的目的。  
  
　　3. 代码段

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Module Module1<br> <br> Public frm1 As New Form1()　‘这个的作用，最后再说<br> <br> 　Declare Function GetCurrentThreadId Lib "kernel32" Alias "GetCurrentThreadId" () As Integer<br> 　Declare Function SetWindowsHookEx Lib "user32" Alias _<br> "SetWindowsHookExA" (ByVal idHook As Integer, ByVal lpfn As HOOKPROC, _<br> ByVal hmod As Integer, ByVal dwThreadId As Integer) As Integer<br> <br> 　Declare Function UnhookWindowsHookEx Lib "user32" _<br> (ByVal hHook As Integer) As Integer<br> <br> 　Declare Function CallNextHookEx Lib "user32" (ByVal hHook As Integer, _<br> ByVal ncode As Integer, ByVal wParam As Integer, ByVal lParam As Integer) As Integer<br> <br> Public Delegate Function HOOKPROC(ByVal nCode As Integer, ByVal wParam As Integer, ByVal lParam As Integer) As Integer<br> <br> 　Public hnexthookproc As Integer<br> 　Public Const PM_KEY_SPACE = &amp;H20<br> 　Public Enum HookType<br> 　WH_KEYBOARD = 2<br> End Enum<br> <br> <br> Public Sub UnHook()　　‘解Hook<br> 　If hnexthookproc &lt;&gt; 0 Then<br> 　　UnhookWindowsHookEx(hnexthookproc)<br> 　　hnexthookproc = 0<br> 　End If<br> End Sub<br> <br> Public Function SetHook() ‘设置Hook<br> 　If hnexthookproc &lt;&gt; 0 Then<br> 　　Exit Function<br> End If<br> <br> hnexthookproc = SetWindowsHookEx(HookType.WH_KEYBOARD, AddressOf MyKeyboardProc, 0, GetCurrentThreadId())</span></td> 
  </tr> 
 </tbody> 
</table>

我把第三个参数设为0（即NULL），表示的是此Hook的代码在此进程中。第四个参数用了一个API去取安装Hook子程相关联的线程的标识符。（参见前面的API声明）

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">End Function<br> <br> Public Function MyKeyboardProc(ByVal nCode As Integer, ByVal wParam As Integer, ByVal lParam As Integer) As Integer<br> <br> MyKeyboardProc = 0<br> <br> If nCode &lt; 0 Then<br> 　MyKeyboardProc = CallNextHookEx(hnexthookproc, nCode, wParam, lParam)<br> 　Exit Function<br> End If<br> <br> If wParam = PM_KEY_SPACE Then <br> 　MyKeyboardProc = 1 <br> 　'写入你自己的代码<br> 　frm1.textbox1.text=”HOOK成功！”<br> End If<br> <br> End Function<br> <br> Sub main()<br> 　Application.Run(frm1)<br> End Sub<br> End Module</span></td> 
  </tr> 
 </tbody> 
</table>

同时请在：  
  
　　解决方案管理器-〉windowsapplication1.sln -〉右点鼠标 -〉属性 -〉通用属性->常规->启动对象 -〉改为Module1  
  
　　4.在Form1中的代码：

<table> 
 <tbody> 
  <tr> 
   <td><span style="color:#000000">Private Sub Form1_Load(ByVal sender As System.Object, ByVal e As System.EventArgs) Handles MyBase.Load<br> <br> Call SetHook()<br> <br> End Sub<br> <br> ‘vb.net中没有form_unload事件了，而是用closing<br> <br> Private Sub Form1_Closing(ByVal sender As Object, ByVal e As System.ComponentModel.CancelEventArgs) Handles MyBase.Closing<br> <br> Call UnHook()<br> <br> End Sub</span></td> 
  </tr> 
 </tbody> 
</table>

最后简单说明一下，为什么我在module1里用了Public frm1 As New Form1()这句话，及启动对象 -〉改为Module1的作法。这是由于vb.net已经是OO的了，如果你是yesky上vb.net版的常客，你就会很熟悉这个问题，我们已经讨论过N次了。  
  
　　结束语：关于API的调用，本文只涉及了冰山之一角，关于具体的调用变化，我会根据vb.net版上的具体情况再写相关的文章来说明的。  
  
　　对了，补充一点，vb.net不再认any类型了，因此，在声明时要具体声明成你想要用的类型即可。

出处： [http://www.lob.cn/jq/skill/1506\_2.shtml][http_www.lob.cn_jq_skill_1506_2.shtml]

[http_www.lob.cn_jq_skill_1506_2.shtml]: http://www.lob.cn/jq/skill/1506_2.shtml