2009年等考C++Hook技術(shù)使用SetHook替換IAT表

　　當進程隱式或顯式調(diào)用一個動態(tài)庫里的函數(shù)時，系統(tǒng)都要把這個動態(tài)庫映射到這個進程的虛擬地址空間里(以下簡稱"地址空間")。這使得DLL成為進程的一部分，以這個進程的身份執(zhí)行，使用這個進程的堆棧。

　　4、系統(tǒng)鉤子與線程鉤子：

　　SetWindowsHookEx()函數(shù)的最后一個參數(shù)決定了此鉤子是系統(tǒng)鉤子還是線程鉤子。

　　線程勾子用于監(jiān)視指定線程的事件消息。線程勾子一般在當前線程或者當前線程派生的線程內(nèi)。

　　系統(tǒng)勾子監(jiān)視系統(tǒng)中的所有線程的事件消息。因為系統(tǒng)勾子會影響系統(tǒng)中所有的應(yīng)用程序，所以勾子函數(shù)必須放在獨立的動態(tài)鏈接庫(DLL) 中。系統(tǒng)自動將包含"鉤子回調(diào)函數(shù)"的DLL映射到受鉤子函數(shù)影響的所有進程的地址空間中，即將這個DLL注入了那些進程。

　　幾點說明：

　　(1)如果對于同一事件(如鼠標消息)既安裝了線程勾子又安裝了系統(tǒng)勾子，那么系統(tǒng)會自動先調(diào)用線程勾子，然后調(diào)用系統(tǒng)勾子。

　　(2)對同一事件消息可安裝多個勾子處理過程，這些勾子處理過程形成了勾子鏈。當前勾子處理結(jié)束后應(yīng)把勾子信息傳遞給下一個勾子函數(shù)。

　　(3)勾子特別是系統(tǒng)勾子會消耗消息處理時間，降低系統(tǒng)性能。只有在必要的時候才安裝勾子，在使用完畢后要及時卸載

　　鉤子類型