SetWindowsHookEx
将应用程序定义的钩子过程安装到钩子链中.您将安装一个挂钩程序来监视系统的某些类型的事件.这些事件与特定线程或与调用线程在同一桌面中的所有线程相关联.
函数声明
HHOOK WINAPI SetWindowsHookEx(
_In_ int idHook,
_In_ HOOKPROC lpfn,
_In_ HINSTANCE hMod,
_In_ DWORD dwThreadId
);
参数1:要安装的挂钩程序的类型
参数2:指向挂钩过程的指针.如果参数4为0或不是当前进程的线程ID,则参数必须指向DLL中的函数过程.否则,可以指向当前的函数过程(除了低级消息钩子).
参数3:指向DLL句柄,如果参数4指向的是当前进程的线程,且过程函数也在当前进程关联的代码内容,则必须设置为NULL.
参数4:要挂钩的线程ID,如果为0,则挂钩所有线程(同一桌面).
返回:如果函数成功,则返回挂钩线程的句柄.如果函数失败,返回值为NULL.要获取扩展错误信息,请调用GetLastError.
说明:SetWindowsHookEx可以用于将DLL注入到另一个进程中。 32位DLL不能被注入到64位进程中，64位DLL不能被注入到32位进程中。 如果应用程序需要在其他进程中使用挂钩，则需要32位应用程序调用SetWindowsHookEx将32位DLL注入32位进程，64位应用程序调用SetWindowsHookEx来注入64位 DLL进入64位进程。 32位和64位DLL必须具有不同的名称。
因为钩子在应用程序的上下文中运行，所以它们必须与应用程序的“位置”匹配。 如果32位应用程序在64位Windows上安装全局钩子，则将32位钩子注入每个32位进程（通常的安全边界）。 在64位进程中，线程仍被标记为“挂钩”。 但是，由于32位应用程序必须运行钩子代码，系统会在挂钩应用程序的上下文中执行钩子; 具体来说，在调用SetWindowsHookEx的线程上。 这意味着挂钩应用程序必须消息循环，否则可能会阻止64位进程的正常运行。
如果64位应用程序在64位Windows上安装全局钩子，则将64位钩子注入到每个64位进程中，而所有32位进程都对挂钩应用程序使用回调。
要将所有应用程序挂在64位Windows安装的桌面上，从适当的进程安装一个32位全局钩子和一个64位全局钩子，并确保在挂钩应用程序中不断地发送消息，以避免阻塞正常功能。如果您已经有32位全局挂钩应用程序，并且不需要在每个应用程序上下文中运行，则不需要创建64位版本。
如果hMod参数为NULL并且dwThreadId参数为零或指定由另一进程创建的线程的标识符，则可能会发生错误。
调用CallNextHookEx函数链接到下一个钩子过程是可选的，但强烈建议; 否则，已安装钩子的其他应用程序将不会收到钩子通知，因此可能会出现错误的行为。 您应该调用CallNextHookEx，除非您绝对需要防止其他应用程序看到通知。
在终止之前，应用程序必须调用UnhookWindowsHookEx函数来释放与该钩子关联的系统资源。
挂钩的范围取决于挂钩类型。 一些挂钩只能用全局范围设置; 其他的也可以只设置一个特定的线程，如下表所示。
挂钩 范围
WH_CALLWNDPROC 线程或全局
WH_CALLWNDPROCRET 线程或全局
WH_CBT 线程或全局
WH_DEBUG 线程或全局
WH_FOREGROUNDIDLE 线程或全局
WH_GETMESSAGE 线程或全局
WH_JOURNALPLAYBACK 全局
WH_JOURNALRECORD 全局
WH_KEYBOARD 线程或全局
WH_KEYBOARD_LL 全局
WH_MOUSE 线程或全局
WH_MOUSE_LL 全局
WH_MSGFILTER 线程或全局
WH_SHELL 线程或全局
WH_SYSMSGFILTER 全局
对于指定的钩子类型，首先调用线程钩子，然后调用全局钩子。请注意，在安装钩子的线程上，而不是线程处理钩子，可以调用WH_MOUSE，WH_KEYBOARD，WH_JOURNAL *，WH_SHELL和低级钩子。对于这些钩子，如果一个32位钩子在钩链中的64位钩子的前面，则可能会调用32位和64位钩子。
全局钩子是一个共享资源，安装程序会影响与调用线程相同的桌面中的所有应用程序。所有全局钩子函数都必须在库中。全局钩子应该限于专用应用程序或在应用程序调试期间用作开发帮助。不再需要钩子的库应该删除其挂钩过程。
Windows Store应用程序开发如果dwThreadId为零，则Windows Store应用程序进程和Windows Runtime代理进程的窗口挂钩DLL未被加载，除非它们由UIAccess进程（辅助工具）安装。该通知在安装程序的线程上提供了这些钩子：
WH_JOURNALPLAYBACK
WH_JOURNALRECORD
WH_KEYBOARD
WH_KEYBOARD_LL
WH_MOUSE
WH_MOUSE_LL
这种行为类似于钩子DLL和目标应用程序进程之间的架构不匹配时发生的情况，例如，当钩子DLL为32位，应用程序进程为64位时。
您可以通过调用UnhookWindowsHookEx函数来释放特定于线程的钩子过程（从钩链中删除其地址），指定要释放的挂钩过程的句柄。一旦您的应用程序不再需要，就释放一个挂钩程序。
您可以使用UnhookWindowsHookEx发布全局钩子过程，但是此函数不会释放包含挂钩过程的DLL。这是因为在桌面中的每个应用程序的进程上下文中调用全局钩子过程，导致对所有这些进程的LoadLibrary函数进行隐式调用。因为不能为另一个进程调用FreeLibrary函数，所以没有办法释放DLL。所有进程明确链接到DLL的程序终止或调用FreeLibrary后，系统最终释放DLL，所有调用hook过程的进程都已经在DLL外部恢复处理。
安装全局挂钩过程的另一种方法是在DLL中提供一个安装功能以及挂钩过程。使用这种方法，安装应用程序不需要DLL模块的句柄。通过与DLL链接，应用程序可以访问安装功能。安装功能可以在调用SetWindowsHookEx时提供DLL模块句柄和其他细节。该DLL还可以包含一个释放全局挂钩过程的函数;当终止时，应用程序可以调用这个挂钩释放功能。
监控系统事件
以下示例使用各种线程特定的钩子过程来监视系统对影响线程的事件。 它演示了如何处理以下类型的钩子过程的事件：
WH_CALLWNDPROC
WH_CBT
WH_DEBUG
WH_GETMESSAGE
WH_KEYBOARD
WH_MOUSE
WH_MSGFILTER
用户可以使用菜单安装和删除挂钩过程。 当安装挂钩过程并发生由过程监视的事件时，该过程将有关事件的信息写入应用程序主窗口的客户端区域。
