最近想写个监视系统的小软件，需要Windows Hook的知识，所以会陆续贴几个关于Hook的文章做参考。
本文将试图以下面的顺序讲解HOOK的大部分内容：
1、 WINDOWS的消息机制
2、 HOOK介绍
3、 HOOK链
4、 HOOK钩子的作用范围
5、 HOOK类型
6、 回调函数
7、 HOOK钩子的安装与卸载
+++++++++++++++++++
WINDOWS的消息机制
+++++++++++++++++++
Windows系统是以消息处理为其控制机制，系统通过消息为窗口过程（windows
procedure）传递输入。系统和应用两者都可以产生消息。对于每个输入事件，例如用
户按下了键盘上的某个键、移动了鼠标、单击了一个控件上的滚动条，等等，系统都
将产生一系列消息。此外，对于应用带给系统的变化，如字体资源的改变、应用本身
窗口的改变，系统都将通过消息以响应这种变化。应用通过产生消息指示应用的窗口
完成特定的任务，或与其他应用的窗口进行通信。
每个窗口都有一个处理Windows系统发送消息的处理程序，称为窗口程序。它是
隐含在窗口背后的一段程序脚本，其中包含对事件进行处理的代码。
Windows系统为每条消息指定了一个消息编号，例如当一个窗口变为活动窗口时，它事
实上是收到一条来自Windows系统的WM_ACTIVATE消息，该消息的编号为6，它对
应于VB窗口的Activate事件。对于窗口来说，诸如Open、Activate、MouseDown、Resize
等事件，实际上对应的是窗口内部的消息处理程序，这些程序对于用户来讲是不可见的。
类似地，命令按钮也有消息处理程序，它的处理程序响应诸如WM_LBUTTONDOWN
和WM_RBUTTONDOWN之类的消息，即激活命令按钮的MouseDown事件。
WINDOWS的消息处理机制为了能在应用程序中监控系统的各种事件消息，提供
了挂接各种回调函数(HOOK)的功能。这种挂钩函数(HOOK)类似扩充中断驱动程序，
挂钩上 可以挂接多个反调函数构成一个挂接函数链。系统产生的各种消息首先被送
到各种挂接函数，挂接函数根据各自的功能对消息进行监视、修改和控制等，然后交
还控 制权或将消息传递给下一个挂接函数以致最终达到窗口函数。WINDOW系统的
这种反调函数挂接方法虽然会略加影响到系统的运行效率，但在很多场合下是非常有
用的，通过合理有效地利用键盘事件的挂钩函数监控机制可以达到预想不到的良好效
果。
+++++++++++
hook介绍
+++++++++++
Hook（钩子）是WINDOWS提供的一种消息处理机制平台，是指在程序正常运
行中接受信息之前预先启动的函数，用来检查和修改传给该程序的信息，（钩子）实
际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，
在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这
时钩子函数即可以加工处理（改变）该消息，也可以不作处理而继续传递该消息，还
可以强制结束消息的传递。
注意：安装钩子函数将会影响系统的性能。监测“系统范围事件”的系统钩子特
别明显。因为系统在处理所有的相关事件时都将调用您的钩子函数，这样您的系统将
会明显的减慢。所以应谨慎使用，用完后立即卸载。还有，由于您可以预先截获其它
进程的消息，所以一旦您的钩子函数出了问题的话必将影响其它的进程。记住：功能
强大也意味着使用时要负责任。
+++++++++++++
HOOK链
+++++++++++++
WINDOWS提供了14种不同类型的HOOKS；不同的HOOK可以处理不同的消
息。例如，WH_MOUSE HOOK用来监视鼠标消息。
WINDOWS为这几种HOOKS维护着各自的HOOK链表。HOOK链表是一串由
应用程序定义的回调函数(CALLBACK Function)队列，当某种类型的消息发生时，
1、 WINDOWS的消息机制
2、 HOOK介绍
3、 HOOK链
4、 HOOK钩子的作用范围
5、 HOOK类型
6、 回调函数
7、 HOOK钩子的安装与卸载
+++++++++++++++++++
WINDOWS的消息机制
+++++++++++++++++++
Windows系统是以消息处理为其控制机制，系统通过消息为窗口过程（windows
procedure）传递输入。系统和应用两者都可以产生消息。对于每个输入事件，例如用
户按下了键盘上的某个键、移动了鼠标、单击了一个控件上的滚动条，等等，系统都
将产生一系列消息。此外，对于应用带给系统的变化，如字体资源的改变、应用本身
窗口的改变，系统都将通过消息以响应这种变化。应用通过产生消息指示应用的窗口
完成特定的任务，或与其他应用的窗口进行通信。
每个窗口都有一个处理Windows系统发送消息的处理程序，称为窗口程序。它是
隐含在窗口背后的一段程序脚本，其中包含对事件进行处理的代码。
Windows系统为每条消息指定了一个消息编号，例如当一个窗口变为活动窗口时，它事
实上是收到一条来自Windows系统的WM_ACTIVATE消息，该消息的编号为6，它对
应于VB窗口的Activate事件。对于窗口来说，诸如Open、Activate、MouseDown、Resize
等事件，实际上对应的是窗口内部的消息处理程序，这些程序对于用户来讲是不可见的。
类似地，命令按钮也有消息处理程序，它的处理程序响应诸如WM_LBUTTONDOWN
和WM_RBUTTONDOWN之类的消息，即激活命令按钮的MouseDown事件。
WINDOWS的消息处理机制为了能在应用程序中监控系统的各种事件消息，提供
了挂接各种回调函数(HOOK)的功能。这种挂钩函数(HOOK)类似扩充中断驱动程序，
挂钩上 可以挂接多个反调函数构成一个挂接函数链。系统产生的各种消息首先被送
到各种挂接函数，挂接函数根据各自的功能对消息进行监视、修改和控制等，然后交
还控 制权或将消息传递给下一个挂接函数以致最终达到窗口函数。WINDOW系统的
这种反调函数挂接方法虽然会略加影响到系统的运行效率，但在很多场合下是非常有
用的，通过合理有效地利用键盘事件的挂钩函数监控机制可以达到预想不到的良好效
果。
+++++++++++
hook介绍
+++++++++++
Hook（钩子）是WINDOWS提供的一种消息处理机制平台，是指在程序正常运
行中接受信息之前预先启动的函数，用来检查和修改传给该程序的信息，（钩子）实
际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，
在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这
时钩子函数即可以加工处理（改变）该消息，也可以不作处理而继续传递该消息，还
可以强制结束消息的传递。
注意：安装钩子函数将会影响系统的性能。监测“系统范围事件”的系统钩子特
别明显。因为系统在处理所有的相关事件时都将调用您的钩子函数，这样您的系统将
会明显的减慢。所以应谨慎使用，用完后立即卸载。还有，由于您可以预先截获其它
进程的消息，所以一旦您的钩子函数出了问题的话必将影响其它的进程。记住：功能
强大也意味着使用时要负责任。
+++++++++++++
HOOK链
+++++++++++++
WINDOWS提供了14种不同类型的HOOKS；不同的HOOK可以处理不同的消
息。例如，WH_MOUSE HOOK用来监视鼠标消息。
WINDOWS为这几种HOOKS维护着各自的HOOK链表。HOOK链表是一串由
应用程序定义的回调函数(CALLBACK Function)队列，当某种类型的消息发生时，
WINDOWS向此种类型的HOOK链的第一个函数（HOOK链的顶部）发送该消息，
在第一函数处理完该消息后由该函数向链表中的下一个函数传递消息，依次向下。如
果链中某个函数没有向下传送该消息，那么链表中后面的函数将得不到此消息。（对
于某些类型的HOOK，不管HOOK链中的函数是否向下传递消息，与此类型HOOK
联系的所有HOOK函数都会收到系统发送的消息）一些Hook子过程可以只监视消息，
或者修改消息，或者停止消息的前进，避免这些消息传递到下一个Hook子过程或者
目的窗口。最近安装的钩子放在链的开始，而最早安装的钩子放在最后，也就是后加
入的先获得控制权。
+++++++++++++++++
钩子的作用范围
++++++++++++++++
一共有两种范围（类型）的钩子：局部的和远程的。
一、局部钩子仅钩挂您自己进程的事件。
二、远程的钩子还可以将钩挂其它进程发生的事件。
远程的钩子又有两种：
1、基于线程的 它将捕获其它进程中某一特定线程的事件。简言之，就是可
以用来观察其它进程中的某一特定线程将发生的事件。
2、系统范围的 将捕捉系统中所有进程将发生的事件消息。
+++++++++++++
HOOK类型
+++++++++++++
Windows共有14种HOOKS，每一种类型的Hook可以使应用程序能够监视不同
类型的系统消息处理机制。下面描述所有可以利用的Hook类型的发生时机。（这些常
数值均可以API浏览器里查到）
1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks
WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到
窗口过程的消息。系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC
Hook子过程，并且在窗口过程处理完消息之后调用WH_CALLWNDPROCRET Hook
子过程。
WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到
Hook子过程。CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同
样也包括了与这个消息关联的消息参数。
2、WH_CBT Hook
在以下事件之前，系统都会调用WH_CBT Hook子过程，这些事件包括：
1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；
2. 完成系统指令；
3. 来自系统消息队列中的移动鼠标，键盘事件；
4. 设置输入焦点事件；
5. 同步系统消息队列事件。
Hook子过程的返回值确定系统是否允许或者防止这些操作中的一个。
3、WH_DEBUG Hook
在系统调用系统中与其它Hook关联的Hook子过程之前，系统会调用
WH_DEBUG Hook子过程。你可以使用这个Hook来决定是否允许系统调用与其它
Hook关联的Hook子过程。
4、WH_FOREGROUNDIDLE Hook
当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE
Hook执行低优先级的任务。当应用程序的前台线程大概要变成空闲状态时，系统就
会调用WH_FOREGROUNDIDLE Hook子过程。
5、WH_GETMESSAGE Hook
应用程序使用WH_GETMESSAGE Hook来监视从GetMessage or PeekMessage函
数返回的消息。你可以使用WH_GETMESSAGE Hook去监视鼠标和键盘输入，以及
其它发送到消息队列中的消息。
6、WH_JOURNALPLAYBACK Hook
WH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可
以使用这个Hook回放通过使用WH_JOURNALRECORD Hook记录下来的连续的鼠
标和键盘事件。只要WH_JOURNALPLAYBACK Hook已经安装，正常的鼠标和键盘
事件就是无效的。WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定
Hook一样使用。WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处
理来自回放Hook当前消息之前需要等待多长时间（毫秒）。这就使Hook可以控制实
时事件的回放。WH_JOURNALPLAYBACK是system-wide local hooks，它们不会被
注射到任何行程地址空间。
7、WH_JOURNALRECORD Hook
在第一函数处理完该消息后由该函数向链表中的下一个函数传递消息，依次向下。如
果链中某个函数没有向下传送该消息，那么链表中后面的函数将得不到此消息。（对
于某些类型的HOOK，不管HOOK链中的函数是否向下传递消息，与此类型HOOK
联系的所有HOOK函数都会收到系统发送的消息）一些Hook子过程可以只监视消息，
或者修改消息，或者停止消息的前进，避免这些消息传递到下一个Hook子过程或者
目的窗口。最近安装的钩子放在链的开始，而最早安装的钩子放在最后，也就是后加
入的先获得控制权。
+++++++++++++++++
钩子的作用范围
++++++++++++++++
一共有两种范围（类型）的钩子：局部的和远程的。
一、局部钩子仅钩挂您自己进程的事件。
二、远程的钩子还可以将钩挂其它进程发生的事件。
远程的钩子又有两种：
1、基于线程的 它将捕获其它进程中某一特定线程的事件。简言之，就是可
以用来观察其它进程中的某一特定线程将发生的事件。
2、系统范围的 将捕捉系统中所有进程将发生的事件消息。
+++++++++++++
HOOK类型
+++++++++++++
Windows共有14种HOOKS，每一种类型的Hook可以使应用程序能够监视不同
类型的系统消息处理机制。下面描述所有可以利用的Hook类型的发生时机。（这些常
数值均可以API浏览器里查到）
1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks
WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到
窗口过程的消息。系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC
Hook子过程，并且在窗口过程处理完消息之后调用WH_CALLWNDPROCRET Hook
子过程。
WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到
Hook子过程。CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同
样也包括了与这个消息关联的消息参数。
2、WH_CBT Hook
在以下事件之前，系统都会调用WH_CBT Hook子过程，这些事件包括：
1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；
2. 完成系统指令；
3. 来自系统消息队列中的移动鼠标，键盘事件；
4. 设置输入焦点事件；
5. 同步系统消息队列事件。
Hook子过程的返回值确定系统是否允许或者防止这些操作中的一个。
3、WH_DEBUG Hook
在系统调用系统中与其它Hook关联的Hook子过程之前，系统会调用
WH_DEBUG Hook子过程。你可以使用这个Hook来决定是否允许系统调用与其它
Hook关联的Hook子过程。
4、WH_FOREGROUNDIDLE Hook
当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE
Hook执行低优先级的任务。当应用程序的前台线程大概要变成空闲状态时，系统就
会调用WH_FOREGROUNDIDLE Hook子过程。
5、WH_GETMESSAGE Hook
应用程序使用WH_GETMESSAGE Hook来监视从GetMessage or PeekMessage函
数返回的消息。你可以使用WH_GETMESSAGE Hook去监视鼠标和键盘输入，以及
其它发送到消息队列中的消息。
6、WH_JOURNALPLAYBACK Hook
WH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可
以使用这个Hook回放通过使用WH_JOURNALRECORD Hook记录下来的连续的鼠
标和键盘事件。只要WH_JOURNALPLAYBACK Hook已经安装，正常的鼠标和键盘
事件就是无效的。WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定
Hook一样使用。WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处
理来自回放Hook当前消息之前需要等待多长时间（毫秒）。这就使Hook可以控制实
时事件的回放。WH_JOURNALPLAYBACK是system-wide local hooks，它们不会被
注射到任何行程地址空间。
7、WH_JOURNALRECORD Hook
WH_JOURNALRECORD Hook用来监视和记录输入事件。典型的，可以使用这
个Hook记录连续的鼠标和键盘事件，然后通过使用WH_JOURNALPLAYBACK Hook
来回放。WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定Hook一样
使用。WH_JOURNALRECORD是system-wide local hooks，它们不会被注射到任何行
程地址空间。
8、WH_KEYBOARD Hook
在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and
WM_KEYUP消息，这些消息通过GetMessage or PeekMessage function返回。可以使
用这个Hook来监视输入到消息队列中的键盘消息。
9、WH_KEYBOARD_LL Hook
WH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。
10、WH_MOUSE Hook
WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。
使用这个Hook监视输入到消息队列中的鼠标消息。
11、WH_MOUSE_LL Hook
WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。
12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动
条，消息框，对话框消息并且发现用户使用ALT+TAB or ALT+ESC 组合键切换窗口。
WH_MSGFILTER Hook只能监视传递到菜单，滚动条，消息框的消息，以及传递到通
过安装了Hook子过程的应用程序建立的对话框的消息。WH_SYSMSGFILTER Hook
监视所有应用程序消息。
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间
过滤消息，这等价于在主消息循环中过滤消息。
通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这
个函数，应用程序能够在模式循环期间使用相同的代码去过滤消息，如同在主消息循
环里一样。
13、WH_SHELL Hook
外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是
激活的并且当顶层窗口建立或者销毁时，系统调用WH_SHELL Hook子过程。
WH_SHELL 共有５钟情况：
1. 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁；
2. 当Taskbar需要重画某个按钮；
3. 当系统需要显示关于Taskbar的一个程序的最小化形式；
4. 当目前的键盘布局状态改变；
5. 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。
按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接
收WH_SHELL消息之前，应用程序必须调用SystemParametersInfo function注册它自
己。
++++++++++++++++++++++++++
回调函数（HOOK处理子过程）
++++++++++++++++++++++++++
为了拦截和处理特定的消息，你可以使用SetWindowsHookEx函数（下面将具体
说明这些函数的声明及各种参数）在该类型的HOOK链中安装你自己的处理HOOK
的子过程（回调函数）。只要您安装的钩子的消息事件类型发生，WINDOWS就将调
用钩子函数。譬如您安装的钩子是WH_MOUSE类型，那么只要有一个鼠标事件发生
时，该钩子函数就会被调用。不管您安装的是那一类型钩子，钩子函数的原型都时是
一样的，语法如下：
public function MyHook(ByVal nCode As Long, ByVal wParam As Long, ByVal lParam
As Long) as long
个Hook记录连续的鼠标和键盘事件，然后通过使用WH_JOURNALPLAYBACK Hook
来回放。WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定Hook一样
使用。WH_JOURNALRECORD是system-wide local hooks，它们不会被注射到任何行
程地址空间。
8、WH_KEYBOARD Hook
在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and
WM_KEYUP消息，这些消息通过GetMessage or PeekMessage function返回。可以使
用这个Hook来监视输入到消息队列中的键盘消息。
9、WH_KEYBOARD_LL Hook
WH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。
10、WH_MOUSE Hook
WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。
使用这个Hook监视输入到消息队列中的鼠标消息。
11、WH_MOUSE_LL Hook
WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。
12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动
条，消息框，对话框消息并且发现用户使用ALT+TAB or ALT+ESC 组合键切换窗口。
WH_MSGFILTER Hook只能监视传递到菜单，滚动条，消息框的消息，以及传递到通
过安装了Hook子过程的应用程序建立的对话框的消息。WH_SYSMSGFILTER Hook
监视所有应用程序消息。
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间
过滤消息，这等价于在主消息循环中过滤消息。
通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这
个函数，应用程序能够在模式循环期间使用相同的代码去过滤消息，如同在主消息循
环里一样。
13、WH_SHELL Hook
外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是
激活的并且当顶层窗口建立或者销毁时，系统调用WH_SHELL Hook子过程。
WH_SHELL 共有５钟情况：
1. 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁；
2. 当Taskbar需要重画某个按钮；
3. 当系统需要显示关于Taskbar的一个程序的最小化形式；
4. 当目前的键盘布局状态改变；
5. 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。
按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接
收WH_SHELL消息之前，应用程序必须调用SystemParametersInfo function注册它自
己。
++++++++++++++++++++++++++
回调函数（HOOK处理子过程）
++++++++++++++++++++++++++
为了拦截和处理特定的消息，你可以使用SetWindowsHookEx函数（下面将具体
说明这些函数的声明及各种参数）在该类型的HOOK链中安装你自己的处理HOOK
的子过程（回调函数）。只要您安装的钩子的消息事件类型发生，WINDOWS就将调
用钩子函数。譬如您安装的钩子是WH_MOUSE类型，那么只要有一个鼠标事件发生
时，该钩子函数就会被调用。不管您安装的是那一类型钩子，钩子函数的原型都时是
一样的，语法如下：
public function MyHook(ByVal nCode As Long, ByVal wParam As Long, ByVal lParam
As Long) as long