鈎子

HOOK分為三種：LOCAL HOOK 和 REMOTE HOOK，還有一種是SYSTEM-WIDE LOCAL HOOK。LOCAL HOOK就是指程序HOOK的就是本程序中的線程。REMOTE HOOK有兩種形式：一種是對其他程序中某個特定的線程；一種是對整個系統。SYSTEM–WIDE LOCAL HOOK 是一種比較特殊的。它具有REMOTE HOOK的功能，又可以用LOCAL HOOK 的表現手法，實際上就是WH_JOURNALRECORD和WH_JOURNALPLAYBACK兩種HOOK。REMOTE HOOK 必須封裝在DLL中。這是因為REMOTE HOOK是針對整個系統或其他進程的線程，因此HOOK必須封裝成DLL，才可以植入到其他進程進行監控。而SYSTEM-WIDE LOCAL HOOK採用的是另外一種架構，系統中的線程請求或獲得一個硬件消息的話，系統會調用那個安裝有HOOK的線程，並執行它的FILTER FUNCTION.然後再返回給請求硬件消息的線程。這種架構有一個缺點就是如果HOOK FILTER FUNCTION的處理中進入無限循環的話，那麼整個系統將停留再循環中，無法切換到其他線程。為了處理這個缺陷，WINDOW使用了一個辦法來處理：就是CTRL+ESC鍵，如果用户按下CTRL+ESC鍵，則系統將會發送一個WM_CANCELJOUNAL消息到有掛上JOUNAL 系列HOOK的線程上面