2009年等考C++Hook技術(shù)使用SetHook替換IAT表

　　當(dāng)進(jìn)程隱式或顯式調(diào)用一個(gè)動(dòng)態(tài)庫里的函數(shù)時(shí)，系統(tǒng)都要把這個(gè)動(dòng)態(tài)庫映射到這個(gè)進(jìn)程的虛擬地址空間里(以下簡稱"地址空間")。這使得DLL成為進(jìn)程的一部分，以這個(gè)進(jìn)程的身份執(zhí)行，使用這個(gè)進(jìn)程的堆棧。

　　4、系統(tǒng)鉤子與線程鉤子：

　　SetWindowsHookEx()函數(shù)的最后一個(gè)參數(shù)決定了此鉤子是系統(tǒng)鉤子還是線程鉤子。

　　線程勾子用于監(jiān)視指定線程的事件消息。線程勾子一般在當(dāng)前線程或者當(dāng)前線程派生的線程內(nèi)。

　　系統(tǒng)勾子監(jiān)視系統(tǒng)中的所有線程的事件消息。因?yàn)橄到y(tǒng)勾子會(huì)影響系統(tǒng)中所有的應(yīng)用程序，所以勾子函數(shù)必須放在獨(dú)立的動(dòng)態(tài)鏈接庫(DLL) 中。系統(tǒng)自動(dòng)將包含"鉤子回調(diào)函數(shù)"的DLL映射到受鉤子函數(shù)影響的所有進(jìn)程的地址空間中，即將這個(gè)DLL注入了那些進(jìn)程。

　　幾點(diǎn)說明：

　　(1)如果對(duì)于同一事件(如鼠標(biāo)消息)既安裝了線程勾子又安裝了系統(tǒng)勾子，那么系統(tǒng)會(huì)自動(dòng)先調(diào)用線程勾子，然后調(diào)用系統(tǒng)勾子。

　　(2)對(duì)同一事件消息可安裝多個(gè)勾子處理過程，這些勾子處理過程形成了勾子鏈。當(dāng)前勾子處理結(jié)束后應(yīng)把勾子信息傳遞給下一個(gè)勾子函數(shù)。

　　(3)勾子特別是系統(tǒng)勾子會(huì)消耗消息處理時(shí)間，降低系統(tǒng)性能。只有在必要的時(shí)候才安裝勾子，在使用完畢后要及時(shí)卸載

　　鉤子類型