监控程序的实现
     我们发现一些木马或其他病毒程序常常会将我们的键盘或鼠标的操作消息记录下来然后再将它发到他们指定的地方以实现监听.这种功能其他是利用了全局钩子将鼠标或键盘消息进行了截取,从而获得了操作的消息.要得到鼠标和键盘的控制权,我们要用SetWindowsHookEx这个函数:
HHOOK SetWindowsHookEx(
   int idHook,        // type of hook to install
   HOOKPROC lpfn,     // address of hook procedure
   HINSTANCE hMod,    // handle to application instance
   DWORD dwThreadId   // identity of thread to install hook for
);
其中idHook是要安装的钩子标识即钩子的类型,lpfn是钩子函数的消息处理过程,hMod是应用程序的实例句柄,dwThreadId是要为哪个线程安装钩子.如果它为0则为全部线程都安装钩子,即为全局钩子.这就是获得全部应用程序消息控制权的开始.我们安装的钩子类型有很多种主要是下面的:
WH_CALLWNDPROCWH_CALLWNDPROCRETWH_CBTWH_DEBUGWH_FOREGROUNDIDLEWH_GETMESSAGEWH_JOURNALPLAYBACKWH_JOURNALRECORDWH_KEYBOARDWH_KEYBOARD_LLWH_MOUSEWH_MOUSE_LLWH_MSGFILTERWH_SHELLWH_SYSMSGFILTER
其中WH_MOUSE是鼠标钩子,WH_KEYBOARD是键盘钩子.
不同的钩子对应不同的钩子过程,钩子过程的写法(以键盘钩子过程为例)是:
LRESULT CALLBACK MouseProc(
   int nCode,      // hook code
   WPARAM wParam,  // message identifier
   LPARAM lParam   // mouse coordinates
);
钩子过程的名字是没关系的.
要取消钩子的安装可以用UnhookWindowsEx:
BOOL UnhookWindowsHookEx(
   HHOOK hhk   // handle to hook procedure to remove
);

下面要介绍一下如何让每个应用程序要安装上钩子函数,要让每个应用程序都安装上钩子要用到动态链接库的知识,利用动态链接库加载到每个应用程序中.
我们首先用VC6.0新建一个WINDOWS动态链接库的空工程,新建一个头文件为了动态链接库本身和使用动态链接库的应用程序也能用,我们定义好导入导出宏和自定义消息以及要导入和导出的函数的定义:
//HookDll.h
// 定义函数修饰宏，方便引用本DLL工程的导出函数
#ifdef KEYHOOKLIB_EXPORTS
#define KEYHOOKLIB_API __declspec(dllexport)                 //导出宏
#else
#define KEYHOOKLIB_API __declspec(dllimport)               //导入宏
#endif
// 自定义与主程序通信的消息
#define HM_KEY WM_USER + 101                   //自定义键盘消息
#define HM_MOUSE WM_USER +102               //自定义鼠标消息
// 声明要导出的函数
BOOL KEYHOOKLIB_API WINAPI SetKeyHook(BOOL bInstall,
           DWORD dwThreadId = 0, HWND hWndCaller = NULL);
BOOL KEYHOOKLIB_API WINAPI SetMouseHook(BOOL bInstall,
           DWORD dwThreadId = 0, HWND hWndCaller = NULL

下面再新建一个C++源文件HookDll.cpp:
我们先包含<windows.h