什么是钩子？

[ffll]

什么是钩子？

[dutsf]

WIN95中日志钩子（JournalRecord Hook）的使用
关键字:
钩子，日志 贴文时间
2001-5-4 22:22:22 文章类型:
转贴 给贴子投票
投票
yemagxy 转贴 出处: http://www.goldplat.com/





钩子是WINDOWS中消息处理机制的一个要点，通过安装各种钩子，应用程序能够设置相应的子例程来监视系统里的消息传递以及在这些消息到达目标窗口程序之前处理它们。钩子的种类很多，每种钩子可以截获并处理相应的消息，如键盘钩子可以截获键盘消息，鼠标钩子可以截获鼠标消息，外壳钩子可以截获启动和关闭应用程序的消息，日志钩子可以监视和记录输入事件。钩子分为线程专用钩子和全局钩子，线程专用钩子只监视指定的线程，要监视系统中的所有线程，必须用到全局钩子。对于全局钩子，钩子函数必须包含在独立的动态链接库(DLL)中，这样才能被各种相关联的应用程序调用。在WINDOWS中，日志钩子是个很特别的钩子，它只有全局钩子一种，是键盘鼠标等输入设备的消息在系统消息队列被取出时发生的，而且系统中只能存在一个这样的日志钩子，更重要是，它不必用在动态链接库中，这样可以省却了为安装一个全局钩子而建立一个动态链接库的麻烦。利用日志钩子，我们可以监视各种输入事件，下面的示例可以用来记录键盘的输入，当有按键发生时，自动记录按键动作的日期和时间以及当前激活的窗口名称。本示例在中文WIN98，Borland C++ Builder4中编译通过。

---- 1．新建一个工程，在窗体Form1中放置两个按钮Button1和Button2, CAPTION分别 为“安装日志钩子”和“卸载日志钩子”。

---- 2． 定义如下全局变量：

HHOOK g_hLogHook=NULL; //钩子变量
HWND g_hLastFocus=NULL;
//记录上一次得到焦点的窗口句柄
const int KeyPressMask=0x80000000; //键盘掩码常量
char g_PrvChar; //保存上一次按键值

3．在Button1的OnClick事件中输入：

void __fastcall TForm1::Button1Click(TObject *Sender)
{
if (g_hLogHook==NULL)
g_hLogHook = SetWindowsHookEx
(WH_JOURNALRECORD,
(HOOKPROC)JournalLogProc,
HInstance,0); //安装日志钩子
}

4．在Button2的OnClick事件中输入：

void __fastcall TForm1::Button2Click(TObject *Sender)
{
if (g_hLogHook!=NULL)
{UnhookWindowsHookEx(g_hLogHook);
g_hLogHook=NULL;
} //卸载日志钩子
}

5．输入钩子回调函数：
HOOKPROC JournalLogProc(int iCode,
WPARAM wParam, LPARAM lParam)
{
if (iCode<0) return (HOOKPROC)CallNextHookEx (g_hLogHook,iCode,wParam,lParam); if (iCode="=HC_ACTION)" {EVENTMSG *pEvt="(EVENTMSG" *)lParam; int i; HWND hFocus; //保存当前活动窗口句柄 char szTitle[256]; //当前窗口名称 char szTime[128]; //保存当前的日期和时间 FILE *stream="fopen(“c:\\logfile.txt”,"a+t");" if (pEvt->message==WM_KEYDOWN)
{int vKey=LOBYTE(pEvt- >paramL); // 取得虚拟键值
char ch;
char str[10];
hFocus=GetActiveWindow();
//取得当前活动窗口句柄
if(g_hLastFocus!=hFocus)
//当前活动窗口是否改变
{GetWindowText(hFocus,szTitle,256);
g_hLastFocus=hFocus;
strcpy(szTime,DateTimeToStr(Now())
.c_str()); //得到当前的日期时间
fprintf(stream,"%c%s%c%c%s",
10,szTime,32,32,szTitle); //写入文件
fprintf(stream,"%c%c",32,32);
}
int iShift=GetKeyState(0x10);
//测试SHIFT,CAPTION,NUMLOCK等键是否按下
int iCapital=GetKeyState(0x14);
int iNumLock=GetKeyState(0x90);
bool bShift=(iShift & KeyPressMask)==KeyPressMask;
bool bCapital=(iCapital & 1)==1;
bool bNumLock=(iNumLock & 1)==1;
if (vKey >=48 && vKey<=57) // 数字0-9 if (!bShift) fprintf(stream,"%c",vKey); if (vKey>=65 && vKey<=90) // A-Z a-z {if (!bCapital) if (bShift) ch="vKey;" else ch="vKey+32;" else if (bShift) ch="vKey+32;" else ch="vKey;" fprintf(stream,"%c",ch); } if (vKey>=96 && vKey<=105) // 小键盘0-9 if (bNumLock) fprintf(stream,"%c",vKey-96+48); if (vKey>=186 && vKey<=222) // 其他键 {switch (vKey) {case 186:if (!bShift) ch=";" ; else ch=":" ;break; case 187:if (!bShift) ch="=" ; else ch="+" ;break; case 188:if (!bShift) ch="," ; else ch="<" ;break; case 189:if (!bShift) ch="-" ; else ch="_" ;break; case 190:if (!bShift) ch="." ; else ch=" >" ;break; case 191:if (!bShift) ch="/" ; else ch="?" ;break; case 192:if (!bShift) ch="`" ; else ch="~" ;break; case 219:if (!bShift) ch="[" ; else ch="{" ;break; case 220:if (!bShift) ch="\\" ; else ch="|" ;break; case 221:if (!bShift) ch="]" ; else ch="}" ;break; case 222:if (!bShift) ch="\" '; else ch="\"" ;break; default:ch="n" ;break; } if (ch!="n" ) fprintf(stream,"%c",ch); } // if (wParam>=112 && wParam<=123) // 功能键 [F1]-[F12] if (vKey>=8 && vKey<=46) //方向键 {switch (vKey) {case 8:strcpy(str,"[BK]");break; case 9:strcpy(str,"[TAB]");break; case 13:strcpy(str,"[EN]");break; case 32:strcpy(str,"[SP]");break; case 33:strcpy(str,"[PU]");break; case 34:strcpy(str,"[PD]");break; case 35:strcpy(str,"[END]");break; case 36:strcpy(str,"[HOME]");break; case 37:strcpy(str,"[LF]");break; case 38:strcpy(str,"[UF]");break; case 39:strcpy(str,"[RF]");break; case 40:strcpy(str,"[DF]");break; case 45:strcpy(str,"[INS]");break; case 46:strcpy(str,"[DEL]");break; default:ch="n" ;break; } if (ch!="n" ) {if (g_PrvChar!="vKey)" {fprintf(stream,"%s",str); g_PrvChar="vKey;" } } } } if (pEvt->message==WM_LBUTTONDOWN || pEvt- >message
==WM_RBUTTONDOWN)
{hFocus=GetActiveWindow();
if (g_hLastFocus!=hFocus)
{g_hLastFocus=hFocus;
GetWindowText(hFocus,szTitle,256);
strcpy(szTime,DateTimeToStr(Now()).c_str());
//得到当前的日期时间
fprintf(stream,"%c%s%c%c%s",
10,szTime,32,32,szTitle); //写入文件
fprintf(stream,"%c%c",32,32);
}
}
fclose(stream);
return (HOOKPROC)CallNextHookEx
(g_hLogHook,iCode,wParam,lParam);
}

---- 将工程编译执行后，每当激活一个窗口时，就会把当前窗口名称写入文件c:\logfile.txt中，当有按键时，按键的名称也会写入此文件中，这里的并没有处理全部的按键，读者可根据需要添加相应的语句。要捕捉键盘的按键动作，用键盘钩子(Keyboard Hook)也同样可以实现，但是用日志钩子却比键盘钩子要方便许多。首先，如果要捕捉其他应用程序的按键，即做成全局钩子，键盘钩子一定要单独放在动态链接库中，而日志钩子却不必；其次，在键盘钩子函数得到的键盘按键之前，系统已经处理过这些输入了，如果系统把这些按键屏蔽掉，键盘钩子就无法检测到它们，例如，当输入屏幕保护程序密码时，键盘钩子无法检测到用户输入了那些字符，而日志钩子却可以检测到。

---- 无论是哪种钩子， 都会增加系统处理消息的时间，从而降低系统的性能，我们只有在必要的时候才安装这些钩子，而且尽可能在不需要时移走它们。

[dutsf]

什么是勾子
---- 在Windows系统中，勾子(hook)是一种特殊的消息处理机制。勾子可以监视系统或进程中的各种事件消息，
截获发往目标窗口的消息并进行处理。这样，我们就可以在系统中安装自定义的勾子，监视系统中特定事件的发生，完成特定的功能，
比如截获键盘、鼠标的输入，屏幕取词，日志监视等等。可见，利用勾子可以实现许多特殊而有用的功能。

勾子的类型
----1． 按事件分类，有如下的几种常用类型
----（1） 键盘勾子和低级键盘勾子可以监视各种键盘消息(WH_KEYBOARD)。

----（2） 鼠标勾子和低级鼠标勾子可以监视各种鼠标消息(WH_MOUSE)。

----（3） 外壳勾子可以监视各种Shell事件消息。比如启动和关闭应用程序(WH_SHELL)。

----（4） 日志勾子可以记录从系统消息队列中取出的各种事件消息(WH_JOURNALRECORD,WH_JOURNALPLAYBACK)。

----（5） 窗口过程勾子监视所有从系统消息队列发往目标窗口的消息(WH_CALLWNDPROC)。

----（6） 监视已被目标窗口函数处理的消息(WH_CALLWNDPROCRE)。

----（7） 接受与计算机训练有关的消息(WH_CBT).

----（8） 应用程序前台空闲时调用的钩子(WH_FOREGROUNDIDLE).

----（9） 监视加入到消息队列中的消(WH_GETMESSAGE).

----（10）监视由对话框消息菜单或者滚动条输入事件产生的消息(WH_MSGFILTER).

此外，还有一些特定事件的勾子提供给我们使用如:WH_MOUSE_LL,WH_KEYBOARD_LL,WH_SYMSGFILTER等等.

----2． 按使用范围分类，主要有线程勾子和系统勾子

----（1） 线程勾子监视指定线程的事件消息。

----（2） 系统勾子监视系统中的所有线程的事件消息。因为系统勾子会影响系统中所有的应用程序，所以勾子函数必须放在独立的动态链接
库(DLL) 中。这是系统勾子和线程勾子很大的不同之处。

---- 几点需要说明的地方：

----（1） 如果对于同一事件（如鼠标消息）既安装了线程勾子又安装了系统勾子，那么系统会自动先调用线程勾子，然后调用系统勾子。

----（2） 对同一事件消息可安装多个勾子处理过程，这些勾子处理过程形成了勾子链。当前勾子处理结束后应把勾子信息传递给下一个勾子函数。

----（3） 勾子特别是系统勾子会消耗消息处理时间，降低系统性能。只有在必要的时候才安装勾子，在使用完毕后要及时卸载。

编写勾子程序
---- 编写勾子程序的步骤分为三步：定义勾子函数、安装勾子和卸载勾子。
----1．定义勾子函数

----勾子函数是一种特殊的回调函数。勾子监视的特定事件发生后，系统会调用勾子函数进行处理。不同事件的勾子函数的形式是各不相同的。下面以鼠标勾子函数举例说明勾子函数的原型：

LRESULT CALLBACK MouseProc
( int nCode, WPARAM wParam, LPARAM lParam)

----参数wParam和 lParam包含鼠标消息的信息，比如鼠标位置、状态等。nCode包含有关消息本身的信息，比如是否从消息队列中移出。

---- 我们先在勾子函数中实现自定义的功能，然后调用函数 CallNextHookEx.把勾子信息传递给勾子链的下一个勾子函数。CallNextHookEx.的原型如下：

LRESULT CallNextHookEx
( HHOOK hhk, int nCode,
WPARAM wParam, LPARAM lParam )

----参数 hhk是勾子句柄。nCode、wParam和lParam 是勾子函数。下面的例子是一个简单的监视鼠标消息的勾子函数：

LRESULT CALLBACK MouseProc
(int nCode, WPARAM wParam, LPARAM lParam)
{
//跟踪鼠标移动时的位置变化信息
if(wParam==WM_MOUSEMOVE || wParam==
WM_NCMOUSEMOVE)
{ //是鼠标移动消息
point=((MOUSEHOOKSTRUCT *)
lParam)－>pt;//取鼠标信息
TRACE2(“Position is :％d,Y:％d\n",point.x,point.y);
}
//传递勾子信息
return CallNextHookEx(hHook,nCode,wParam,lParam);
}

----2．安装勾子

----在程序初始化的时候，调用函数SetWindowsHookEx安装勾子。其函数原型为：

HHOOK SetWindowsHookEx
( int idHook,HOOKPROC lpfn,
INSTANCE hMod,DWORD dwThreadId )

----参数idHook表示勾子类型，它是和勾子函数类型一一对应的。比如，WH_KEYBOARD表示安装的是键盘勾子，WH_MOUSE表示是鼠标勾子等等。

----Lpfn是勾子函数的地址。

----HMod是勾子函数所在的实例的句柄。对于线程勾子，该参数为NULL；对于系统勾子，该参数为勾子函数所在的DLL句柄。

---- dwThreadId 指定勾子所监视的线程的线程号。对于全局勾子，该参数为NULL。

----SetWindowsHookEx返回所安装的勾子句柄。

----3．卸载勾子

---- 当不再使用勾子时，必须及时卸载。简单地调用函数 BOOL UnhookWindowsHookEx( HHOOK hhk)即可。

---- 值得注意的是线程勾子和系统勾子的勾子函数的位置有很大的差别。线程勾子一般在当前线程或者当前线程派生的线程内，而系统勾子必须放在独立的动态链接库中，实现起来要麻烦一些。