编写钩子程序实例

编写钩子程序的步骤分为三步：定义钩子函数、安装钩子和卸载钩子。

1．定义钩子函数

钩子函数是一种特殊的回调函数。钩子监视的特定事件发生后，系统会调用钩子函数进行处理。不同事件的钩子函数的形式是各不相同的。下面以鼠标钩子函数举例说明钩子函数的原型：

LRESULT CALLBACK HookProc(int nCode ,WPARAM wParam,LPARAM lParam)

参数wParam和lParam包含所钩消息的信息，比如鼠标位置、状态，键盘按键等。nCode包含有关消息本身的信息，比如是否从消息队列中移出。

我们先在钩子函数中实现自定义的功能，然后调用函数CallNextHookEx.把钩子信息传递给钩子链的下一个钩子函数。CallNextHookEx.的原型如下：

LRESULT CallNextHookEx( HHOOK hhk, int nCode, WPARAM wParam, LPARAM lParam )

参数hhk是钩子句柄。nCode、wParam和lParam 是钩子函数。

当然也可以通过直接返回TRUE来丢弃该消息，就阻止了该消息的传递。

2．安装钩子

在程序初始化的时候，调用函数SetWindowsHookEx安装钩子。其函数原型为：HHOOK SetWindowsHookEx( int idHook,HOOKPROC lpfn, INSTANCE hMod,DWORD dwThreadId )

参数idHook表示钩子类型，它是和钩子函数类型一一对应的。比如，WH_KEYBOARD表示安装的是键盘钩子，WH_MOUSE表示是鼠标钩子等等。

Lpfn是钩子函数的地址。

HMod是钩子函数所在的实例的句柄。对于线程钩子，该参数为NULL；对于系统钩子，该参数为钩子函数所在的DLL句柄。

dwThreadId 指定钩子所监视的线程的线程号。对于全局钩子，该参数为NULL。

SetWindowsHookEx返回所安装的钩子句柄。

3．卸载钩子

当不再使用钩子时，必须及时卸载。简单地调用函数BOOL UnhookWindowsHookEx( HHOOK hhk)即可。

值得注意的是线程钩子和系统钩子的钩子函数的位置有很大的差别。线程钩子一般在当前线程或者当前线程派生的线程内，而系统钩子必须放在独立的动态链接库中，实现起来要麻烦一些。

线程钩子的编程实例：

按照上面介绍的方法实现一个线程级的鼠标钩子。钩子跟踪当前窗口鼠标移动的位置变化信息。并输出到窗口。

(1)在VC＋＋6.0中利用MFC

APPWizard（EXE）生成一个不使用文档/视结构的单文档应用mousehook。打开childview.cpp 文件，加入全局变量：

HHOOK hHook;//鼠标钩子句柄

CPoint point;//鼠标位置信息

CChildView ＊pV iew;

// 鼠标钩子函数用到的输出窗口指针

在CChildView::OnPaint()添加如下代码：

CPaintDC dc(this);

char str[256];

sprintf(str,“x=％d,y=％d",point.x,point.y);

//构造字符串

dc.TextOut(0,0,str); //显示字符串

(2)childview.cpp文件中定义全局的鼠标钩子函数。

LRESULT CALLBACK MouseProc (int nCode, WPARAM wParam, LPARAM lParam)

{//是鼠标移动消息

if(wParam==WM_MOUSEMOVE||wParam ==WM_NCMOUSEMOVE)

{

point=((MOUSEHOOKSTRUCT ＊)lParam)－>pt;

//取鼠标信息

pView－>Invalidate(); //窗口重画

}

return CallNextHookEx(hHook,nCode,wParam,lParam);

//传递钩子信息

}

(3)CChildView类的构造函数中安装钩子。

CChildView::CChildView()

{

pView=this;//获得输出窗口指针

hHook=SetWindowsHookEx(WH_MOUSE,MouseProc,0,GetCurrentThreadId());

}

(4)CChildView类的析构函数中卸载钩子。

CChildView::～CChildView()

{

if(hHook)

UnhookWindowsHookEx(hHook);

}

系统钩子的编程实例：

由于系统钩子要用到dll，所以先介绍下win32 dll的特点：

Win32 DLL与Win16 DLL有很大的区别，这主要是由操作系统的设计思想决定的。一方面，在Win16 DLL中程序入口点函数和出口点函数（LibMain和WEP）是分别实现的；而在Win32 DLL中却由同一函数DLLMain来实现。无论何时，当一个进程或线程载入和卸载DLL时，都要调用该函数，它的原型是BOOL WINAPI DllMain

(HINSTANCE hinstDLL,DWORD fdwReason, LPVOID lpvReserved);，其中，第一个参数表示DLL的实例句柄；第三个参数系统保留；这里主要介绍一下第二个参数，它有四个可能的值：DLL_PROCESS_A TTACH（进程载入），DLL_THREAD_A TTACH（线程载入），DLL_THREAD_DETACH（线程卸载），DLL_PROCESS_DETACH（进程卸载），在DLLMain 函数中可以对传递进来的这个参数的值进行判别，并根据不同的参数值对DLL进行必要的初始化或清理工作。举个例子来说，当有一个进程载入一个DLL时，系统分派给DLL的第二个参数为DLL_PROCESS_A TTACH，这时，你可以根据这个参数初始化特定的数据。另一方