Windows 消息鉤子機制深度解析：原理、類型與實戰指南

什麼是鉤子？

鉤子是 Windows 消息處理機制的擴展點，允許應用程序安裝回調函數監視、修改或攔截特定類型的消息/事件。鉤子形成鏈表，消息到達目標窗口前依次經過鏈上各鉤子處理程序。每個鉤子可選擇：處理並傳遞給下一個、修改消息後傳遞、或直接丟棄消息阻止繼續傳遞。

運行機制核心三要素

1. 鉤子鏈表與回調函數

• 系統為每種鉤子類型維護一個指針鏈表，指向應用程序定義的回調函數 HookProc。
• 新安裝的鉤子插入鏈表頭部（後安裝先調用）。
• 回調函數簽名：LRESULT CALLBACK HookProc(int nCode, WPARAM wParam, LPARAM lParam)。
• nCode 指示處理階段（如 HC_ACTION 表示需處理），負值時必須調用 CallNextHookEx 且不得修改消息。

2. 安裝與卸載 API

HHOOK SetWindowsHookEx(
  int idHook,        // 鉤子類型：WH_KEYBOARD, WH_MOUSE, WH_GETMESSAGE 等
  HOOKPROC lpfn,     // 回調函數地址（全局鉤子必須在 DLL 中）
  HINSTANCE hMod,    // 包含回調函數的 DLL 實例句柄（線程鉤子可為 NULL）
  DWORD dwThreadId   // 0=全局鉤子，非0=指定線程鉤子
);

BOOL UnhookWindowsHookEx(HHOOK hhk); // 卸載

LRESULT CallNextHookEx(HHOOK hhk, int nCode, WPARAM wParam, LPARAM lParam); // 傳遞給下一個

關鍵規則：全局鉤子（dwThreadId=0）回調必須位於 DLL，系統會將該 DLL 注入所有相關進程地址空間；線程鉤子回調可在 EXE 內部。

3. Win32 下的數據共享問題

Win32 進程間全局數據默認不共享。全局鉤子需跨進程共享 HHOOK 句柄等數據，解決方案：

• 命名數據段：#pragma data_seg("Shared") HHOOK hHook=NULL; #pragma data_seg() #pragma comment(linker,"/section:.Shared,rws")
• 內存映射文件：CreateFileMapping/MapViewOfFile 實現跨進程共享內存。