DELPHI学习之「Hook挂钩」

一、什么是Hook挂钩函数

Hook使我们可以控制系统事件的发生和处理，能够预演和修改系统事件和消息，在系统范围内阻止系统事件和消息的发生。

首先，我们用SetWindowsHookEx(idHook Integer; lpfn: TFNHookProc; hmod: HINST, dwThreadID: DWORD): HHook; stdcall; 这个函数来设置Hook。

该函数返回一个Hook的句柄。我们必须保存这个句柄，以在程序中使用。

idHook 是指要安装的Hook的类型。它包括以下十六种Hook类型。

WH_CALLWNDPROC 窗口函数过虑，窗口函数收到消息时，调用这个挂钩函数

WH_CALLWNDPROCRET 建立用于监视窗口函数处理过的消息的挂钩过程

WH_CBT 处理大多数窗口管理，鼠标键盘消息前会调用这个挂钩函数

WH_DEBUG 调试过滤器，在任何Windows挂钩函数之前调用这个挂钩函数。

WH_GETMESSAGE 消息过滤器，在应用程序消息队列中检索到消息时调用这个挂钩函数。

WH_HARDWARE 硬件消息过滤器，在应用程序消息队列中检索到硬件消息时调用这个挂钩函数。

WH_JOURNALPLAYBACK 在系统消息队列检索到消息时调用这个挂钩函数，用于在消息队列中插入一个系统事件

WH_JOURNALRECORD 一个事件从系统队列中被请求时调用这个挂钩函数，用于记录系统事件

WH_KEYBOARD 键盘过滤器，从应用程序消息队列中检索到WM_KEYDOWN和WM_KEYUP时调用这个挂钩函数。

WH_MOUSE 鼠标过滤器，从应用程序消息队列中检索到鼠标消息时调用这个挂钩函数。

WH_KEYBOARD_LL 一个低层的键盘过滤器

WH_MOUSE_LL 一个低层的鼠标过滤器

WH_MSGFILTER 特殊消息过滤器，应用程序的对话框，菜单，信息框要处理一个消息时调用这个挂钩函数

WH_SHELL 外壳应用过滤器，窗口被创建和释放或者外壳过程需要激活时，调用这个挂钩函数。

lpfn Windows挂钩函数的回调函数的地址，该函数为TFNHookProc类型。回调函数原型如下：

TFNHookProc = function(code: Integer; wparam: WPARAM; lparam: LPARAM): LRESULT; stdcall;

其中code为系统指示标记，wParam和lParam为附加参数，根据不同的消息监视类型而不同。只要在程序中建立这样一个函数再通过SetwindowsHookEx函数将它加入到消息监视链中就可以处理消息了。

hmod 包含挂钩回调函数EXE和DLL的hInstalce变量

dwThreadID 用于标识一个与挂钩关联的线程。为0时，表示该Hook可以在任何线程中使用。

第二，使用挂钩函数

使用挂钩链中的下一个挂钩函数 CallNextHookEx(HookHandle, Code, wparam, lparam);

HookHandle是SetWindowsHookEx函数的返回值，code为系统指示标记，wParam和lParam为附加参数，根据不同的消息监视类型而不同。

第三，使用脱钩函数

用UnhookWindowsHookEx(HookHandle)来释放挂钩。

由于钩子过滤函数必须在独立的模块中，也就是说我们必须首先生成一个DLL框架，然后再在其中加入钩子函数代码以及其他相关函数代码，Hook要在DLL中启动和调用。

第四、 钩子编写说明

1、先生成一个DLL框架

2、编写自己的钩子过滤函数，钩子过滤函数必须是回调函数，其函数的形式：

function KeyHookProc(iCode:Integer; wParam:WPARAM; lParam:LPARAM ) : LRESULT; stdcall; export;

3、在生成的DLL框架中加入自己钩子的处理函数。

4、用SetWindowsHookEx函数安装HOOK

5、用UnHookWindowsHookEx卸载钩子

第五，DLL的初始化和清理操作

除了以上所用到的知识，我们还要用到DLL的入口和出口函数相关的知识。

DLL的入口和出口函数，用来执行DLL的初始化和释放的操作。我们还要在Dll中加入自己的入口函数，以进行相关的初始化。

全局变量DLLProc是一个过程的指针，定义在SysUtils单元，它就是DLL的入口。在此用我们的函数替换了它的入口。这个函数必须符合以下要求[其实就是一个回调函数]。

procedure DllEntryPoint(dwReason: DWORD);far;stdcall;

dwReason参数有四种类型：

DLL_PROCESS_ATTACH: 进程进入时

DLL_PROCESS_DETACH 进程退出时

DLL_THREAD_ATTACH 线程进入时

DLL_THREAD_DETACH 线程退出时

在初始化部分以下面的形式出现:

DLLProc := @DLLEnterPoint;

DllEntryPoint(DLL_PROCESS_ATTACH);