（1）钩子分类 ：
在微软的MSDN（Microsoft Developper Network，微软开发者网络）中，对钩子（Hooks）有非常详细的介绍。这里是部分内容的译文，原文省略。
钩子（Hook）是Windows消息处理机制的一个要点（Point）。应用程序可以安装钩子处理程序去监视Window消息传输并可以在一些消息传递到目标窗口之前处理这些消息。
Windows系统支持许多不同类型的钩子；每种钩子提供处理不同方面的消息处理机制，如可以用WH_MOUSE鼠标钩子来监视鼠标消息的传递。
Windows系统实际支持如下13种类型的钩子，对“证券大盗”病毒而言，我们关心的是键盘消息“钩子”（WH_KEYBOARD Hook）：
1、WH_CALLWNDPROC Hook 系统将消息发送到指定窗口之前的“钩子”
2、WH_CALLWNDPROCRET Hook 消息已经在窗口中处理的“钩子”
3、WH_CBT Hook 基于计算机培训的“钩子”
4、WH_DEBUG Hook 差错“钩子”
5、WH_FOREGROUNDIDLE Hook 前台空闲窗口“钩子”
6、WH_GETMESSAGE Hook 接收消息投递的“钩子”
7、WH_JOURNALPLAYBACK Hook 回放以前通过WH_JOURNALRECORD“钩子”记录的输入消息
8、WH_JOURNALRECORD Hook 输入消息记录“钩子”
9、WH_KEYBOARD Hook 键盘消息“钩子”
10、WH_MOUSE Hook 鼠标消息“钩子”
11、WH_MSGFILTER 对话框、消息框、菜单或滚动条输入消息“钩子”
12、WH_SYSMSGFILTER Hook 系统消息“钩子”
13、WH_SHELL Hook 外壳“钩子”
详细说明如下：
每一种类型的Hook可以使应用程序能够监视不同类型的系统消息处理机制。下面描述所有可以利用的Hook类型。
1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks
WH_CALLWNDPROC 和WH_CALLWNDPROCRET Hooks使你可以监视发送到窗口过程的消息。系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC Hook子程，
并且在窗口过程处理完消息之后调用WH_CALLWNDPROCRET Hook子程。
WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到Hook子程。
CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与这个消息关联的消息参数。
2、WH_CBT Hook
在以下事件之前，系统都会调用WH_CBT Hook子程，这些事件包括：
1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；
2. 完成系统指令；
3. 来自系统消息队列中的移动鼠标，键盘事件；
4. 设置输入焦点事件；
5. 同步系统消息队列事件。
Hook子程的返回值确定系统是否允许或者防止这些操作中的一个。
3、WH_DEBUG Hook
在系统调用系统中与其他Hook关联的Hook子程之前，系统会调用WH_DEBUG Hook子程。你可以使用这个Hook来决定是否允许系统调用与其他Hook关联的Hook子程。
4、WH_FOREGROUNDIDLE Hook
当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务。当应用程序的前台线程大概要变成空闲状态时，
系统就会调用WH_FOREGROUNDIDLE Hook子程。
5、WH_GETMESSAGE Hook
应用程序使用WH_GETMESSAGE Hook来监视从GetMessage or PeekMessage函数返回的消息。你可以使用WH_GETMESSAGE Hook去监视鼠标和键盘输入，
以及其他发送到消息队列中的消息。
6、WH_JOURNALPLAYBACK Hook
WH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可以使用这个Hook回放通过使用WH_JOURNALRECORD Hook记录下来的连续的鼠标和键盘事件。
只要WH_JOURNALPLAYBACK Hook已经安装，正常的鼠标和键盘事件就是无效的。
WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定Hook一样使用。
WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处理来自回放Hook当前消息之前需要等待多长时间（毫秒）。这就使Hook可以控制实时事件的回放。
WH_JOURNALPLAYBACK是system-wide local hooks，它們不會被注射到任何行程位址空間。
7、WH_JOURNALRECORD Hook
WH_JOURNALRECORD Hook用来监视和记录输入事件。典型的，可以使用这个Hook记录连续的鼠标和键盘事件，然后通过使用WH_JOURNALPLAYBACK Hook来回放。
WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定Hook一样使用。
WH_JOURNALRECORD是system-wide local hooks，它們不會被注射到任何行程位址空間。
8、WH_KEYBOARD Hook
在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and WM_KEYUP消息，这些消息通过GetMessage or PeekMessage function返回。
可以使用这个Hook来监视输入到消息队列中的键盘消息。
9、WH_KEYBOARD_LL Hook
WH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。
10、WH_MOUSE Hook
WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。使用这个Hook监视输入到消息队列中的鼠标消息。
11、WH_MOUSE_LL Hook
WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。
12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动条，消息框，对话框消息并且发现用户使用ALT+TAB or ALT+ESC 组合键切换窗口。
WH_MSGFILTER Hook只能监视传递到菜单，滚动条，消息框的消息，以及传递到通过安装了Hook子程的应用程序建立的对话框的消息。
WH_SYSMSGFILTER Hook监视所有应用程序消息。
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间过滤消息，这等价于在主消息循环中过滤消息。
通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这个函数，应用程序能够在模式循环期间使用相同的代码去过滤消息，
如同在主消息循环里一样。
基本概念
13、WH_SHELL Hook
外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是激活的并且当顶层窗口建立或者销毁时，系统调用WH_SHELL Hook子程。
WH_SHELL 共有５钟情況：
1. 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁；
2. 当Taskbar需要重画某个按钮；
3. 当系统需要显示关于Taskbar的一个程序的最小化形式；
4. 当目前的键盘布局状态改变；
5. 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。
按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接收WH_SHELL消息之前，应用程序必须调用SystemParametersInfo function注册它自己。
（2）安装钩子：
SetWindowsHookEx。 其函数原型为： HHOOK SetWindowsHookEx( int idHook,HOOKPROC lpfn, INSTANCE hMod,DWORD dwThreadId )
1、参数说明：
idHook： 表示钩子类型，它是和钩子函数类型一一对应的。如，WH_KEYBOARD,WH_MOUSE。
Lpfn： 是钩子函数的地址。
HMod： 是钩子函数所在的实例的句柄。对于线程钩子，该参数为NULL；对于系统钩子，该参数为钩子函数所在的DLL句柄。 (系统钩子必须在DLL中）
dwThreadId： 指定钩子所监视的线程的线程号。对于全局钩子，该参数为NULL。
2、返回值：
SetWindowsHookEx 返回所安装的钩子句柄。
3、问题：（不知道C#和CB中为什么不同）
安装钩子时，C#使用Marshal.GetHINSTANCE([Assembly].GetExecutingAssembly.GetModules()(0))
vb中使用GetModuleHandle(Process.GetCurrentProcess().MainModule.ModuleName)
（3）卸载钩子：
调用函数 BOOL UnhookWindowsHookEx( HHOOK hhk)卸载钩子
（4）定义钩子函数
钩子函数是一种特殊的回调函数。钩子监视的特定事件发生后，系统会调用钩子函数进行处理。一般为下：
LRESULT WINAPI MyHookProc(int nCode ,WPARAM wParam,LPARAM lParam)
参数wParam和 lParam包含所钩消息的信息，比如鼠标位置、状态，键盘按键等。nCode包含有关消息本身的信息，比如是否从消息队列中移出。
（5）键盘钩子：
线程钩子为2，全局钩子为13
如果是监听键盘消息的线程钩子，我们可以根据lParam值的正负确定按键是按下还是抬起，根据wParam值确定是按下哪个键。
如果是监听键盘消息的全局钩子，按键是按下还是抬起要根据wParam值确定。键盘按下：wParam = = 0x100，键盘抬起：wParam = = 0x101
（6）鼠标钩子：
线程钩子为7，全局钩子为14
.rar （20个子文件） 
MouseKeyBoardHook 
Test.sln 901B Test.suo 30KB Test FormHook.vb 3KB Test.vbproj 5KB ConstDefine.vb 2KB KeyboardHook.vb 5KB bin Debug Release SafeNativeMethods.vb 3KB Form1.vb 2KB obj 
Test.vbproj.FileList.txt 556B Debug Release Readme.txt 7KB My Project AssemblyInfo.vb 1KB Settings.Designer.vb 3KB Application.myapp 471B Settings.settings 279B Resources.resx 5KB Resources.Designer.vb 3KB Application.Designer.vb 2KB Form1.resx 6KB Form1.Designer.vb 4KB MouseHook.vb 4KB资源评论
