Hook学习
Windows 消息机制
- Windows操作系统是建立在事件驱动机制之上的，系统各部分之间的沟通也都是通过消息的相互传递而实现的
- 通常情况下，应用程序只能处理来自进程内部的消息或是从其他进程发过来的消息
- 如果需要对在进程外传递的消息进行拦截处理就必须采取HOOK。HOOK作为Windows操作系统中非常重要的一种系统接口，用它可以轻松截获并处理在其他应用程序之间传递的消息，并由此可以完成一些普通应用程序难以实现的特殊功能。
- 钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。
从OS捕捉到消息开始处理，到最后交还给OS调度回调函数，就像走了一个循环，我自己理解这也是为什么叫做“回调函数”的原因之一。接下来我们要进行的HOOK就是在上面的第二步和第三步之间进行的额外工作。
HOOK机制
HOOK（钩子）的本质是一段用以处理系统消息的程序，通过系统调用，将其挂入到系统。钩子的种类有很多，每一种钩子负责截获并处理相应的消息。
钩子机制允许应用程序截获并处理发往指定窗口的消息或特定事件，其监视的窗口既可以是本进程内的也可以是由其他进程所创建的。在特定的消息发出并到达目的窗口之前，HOOK程序先行截获此消息并得到对其的控制权。此时在钩子函数中就可以对截获的消息进行各种修改处理，甚至强行终止该消息的继续传递。
HOOK的多少是按照HOOK的种类来划分的，比如WH_MOUSE, WH_KEYBOARD等。但是每一个HOOK实质上都由系统维护着一个指针列表，其指针指向HOOK的各个处理函数，我们称之为HOOK子程。
- 当调用SetWindowsHookEx()时在该HOOK链的最开始安装一个新的HOOK子程，有时不影响理解时我们也说成是安装一个新HOOK，最早的HOOK则放在链表的最后（有点类似于栈）
- 当HOOK监视的消息出现时，操作系统调用链表开始处的第一个HOOK子程进行处理，也就是最后加入的HOOK优先获得控制权。
- 这里的HOOK处理函数必须是一个回调函数，而且不能定义为类成员函数，必须为普通的C函数。
- 在使用钩子时根据其监视范围的不同可以将其分为全局钩子和线程钩子两大类，其中线程钩子指定某个线程ID（可以是当前线程），只能监视该线程；全局钩子可以对同一个窗口下的所有线程进行监视。这里的全局HOOK的本质还是由触发HOOK机制的线程调用自身进程空间中的代码进行处理，所以我们的HOOK子程代码必须映射进该线程所在的进程的地址空间，即通过DLL的方式实现。
Hook 种类
每一种类型的Hook可以使应用程序能够监视不同类型的系统消息处理机制。
- WH_CALLWNDPROC和WH_CALLWNDPROCRET
HooksWH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到窗口过程的消息。
系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC Hook子程，并且在窗口过程处理完消息之后调用WH_CALLWNDPROCRET Hook子程。WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到Hook子程。CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与这个消息关联的消息参数。
- WH_CBT Hook
在以下事件之前，系统都会调用WH_CBT Hook子程，这些事件包括：1). 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；
2). 完成系统指令；
3). 来自系统消息队列中的移动鼠标，键盘事件；
4) 设置输入焦点事件；
5). 同步系统消息队列事件。
Hook子程的返回值确定系统是否允许或者防止这些操作中的一个。 - WH_DEBUG
Hook在系统调用系统中与其他Hook关联的Hook子程之前，系统会调用WH_DEBUG Hook子程。你可以使用这个Hook来决定是否允许系统调用与其他Hook关联的Hook子程。 - WH_FOREGROUNDIDLE
Hook当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务。当应用程序的前台线程大概要变成空闲状态时，系统就会调用WH_FOREGROUNDIDLE Hook子程。 - WH_GETMESSAGE
Hook应用程序使用WH_GETMESSAGE Hook来监视从GetMessage or PeekMessage函数返回的消息。你可以使用WH_GETMESSAGE Hook去监视鼠标和键盘输入，以及其他发送到消息队列中的消息。 - WH_JOURNALPLAYBACK
HookWH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可以使用这个Hook回放通过使用WH_JOURNALRECORD Hook记录下来的连续的鼠标和键盘事件。只要WH_JOURNALPLAYBACK Hook已经安装，正常的鼠标和键盘事件就是无效的。WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定Hook一样使用。WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处理来自回放Hook当前消息之前需要等待多长时间（毫秒）。这就使Hook可以控制实时事件的回放。WH_JOURNALPLAYBACK是system-wide local hooks，它們不會被注射到任何行程位址空間。 - WH_JOURNALRECORD
HookWH_JOURNALRECORD Hook用来监视和记录输入事件。典型的，可以使用这个Hook记录连续的鼠标和键盘事件，然后通过使用WH_JOURNALPLAYBACK Hook来回放。WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定Hook一样使用。WH_JOURNALRECORD是system-wide local hooks，它們不會被注射到任何行程位址空間。 - WH_KEYBOARD
Hook在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and WM_KEYUP消息，这些消息通过GetMessage or PeekMessage function返回。可以使用这个Hook来监视输入到消息队列中的键盘消息。 - WH_KEYBOARD_LL
HookWH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。 - WH_MOUSE Hook
WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。使用这个Hook监视输入到消息队列中的鼠标消息。 - WH_MOUSE_LL Hook
WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。 - WH_MSGFILTER 和 WH_SYSMSGFILTER
HooksWH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动条，消息框，对话框消息并且发现用户使用ALT+TAB or ALT+ESC 组合键切换窗口。WH_MSGFILTER Hook只能监视传递到菜单，滚动条，消息框的消息，以及传递到通过安装了Hook子程的应用程序建立的对话框的消息。WH_SYSMSGFILTER Hook监视所有应用程序消息。WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间过滤消息，这等价于在主消息循环中过滤消息。通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这个函数，应用程序能够在模式循环期间使用相同的代码去过滤消息，如同在主消息循环里一样。 - WH_SHELL Hook
外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是激活的并且当顶层窗口建立或者销毁时，系统调用WH_SHELL Hook子程。WH_SHELL 共有５钟情況：1). 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁；
2). 当Taskbar需要重画某个按
3). 当系统需要显示关于Taskbar的一个程序的最小化形式；
4). 当目前的键盘布局状态改变；
5). 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。
按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接收WH_SHELL消息之前，应用程序必须调用SystemParametersInfo function注册它自己。
核心函数
使用Windows HOOK所需要的核心函数不多，只有四个：
- SetWindowsHookEx()：安装一个HOOK
- HOOK 子程：HOOK的处理函数，如GetMsgProc， KeyboardProc等
- CallNextHookEx()：调用HOOK链的下一个HOOK子程
- UnhookWindowsHookEx()：卸载一个HOOK
Hook API
Hook API是指Windows开放给程序员的编程接口，使得在用户级别下可以对操作系统进行控制，也就是一般的应用程序都需要调用API来完成某些功能，Hook API的意思就是在这些应用程序调用真正的系统API前可以先被截获，从而进行一些处理再调用真正的API来完成功能。
HOOK分为三种：LOCAL HOOK 和 REMOTE HOOK，还有一种是SYSTEM-WIDE LOCAL HOOK。
- LOCAL HOOK就是指程序HOOK的就是本程序中的线程。
- REMOTE HOOK有两种形式：一种是对其他程序中某个特定的线程；一种是对整个系统。
REMOTE HOOK 必须封装在DLL中。这是因为REMOTE HOOK是针对整个系统或其他进程的线程，因此HOOK必须封装成DLL，才可以植入到其他进程进行监控。 - SYSTEM–WIDE LOCAL HOOK 是一种比较特殊的。它具有REMOTE HOOK的功能，又可以用LOCAL HOOK 的表现手法，实际上就是WH_JOURNALRECORD和WH_JOURNALPLAYBACK两种HOOK。
而SYSTEM-WIDE LOCAL HOOK采用的是另外一种架构，系统中的线程请求或获得一个硬件消息的话，系统会调用那个安装有HOOK的线程，并执行它的FILTER FUNCTION.然后再返回给请求硬件消息的线程。这种架构有一个缺点就是如果HOOK FILTER FUNCTION的处理中进入无限循环的话，那么整个系统将停留再循环中，无法切换到其他线程。为了处理这个缺陷，WINDOW使用了一个办法来处理：就是CTRL+ESC键，如果用户按下CTRL+ESC键，则系统将会发送一个WM_CANCELJOUNAL消息到有挂上JOUNAL 系列HOOK的线程上面。
关于HOOK效率
使用HOOK 将会降低系统效率，因为它增加了系统处量消息的工作量。建议在必要时才使用HOOK，并在消息处理完成后立即移去该HOOK。建议只在调试时使用全局HOOK函数。全局HOOK函数将降低系统效率，并且会同其它使用该类HOOK的应用程序产生冲突。