2009年等考C++Hook技术使用SetHook替换IAT表

　　在何时替换IAT表呢?

　　如果这个主进程是我们自己的，那么这就不是一个问题，我们直接在进程的代码中替换IAT表就好了。但如果这个主进程是另一个应用程序或者所有的所用程序呢?Windows的SetHook机制给我解决了这个问题。

　　为了说明SetHook的方法，我引用别人的一段文字：

　　运行机制

　　1、钩子链表和钩子子程：

　　每一个Hook都有一个与之相关联的指针列表，称之为钩子链表，由系统来维护。这个列表的指针指向指定的，应用程序定义的，被Hook子程调用的回调函数，也就是该钩子的各个处理子程。当与指定的Hook类型关联的消息发生时，系统就把这个消息传递到Hook子程。一些Hook子程可以只监视消息，或者修改消息，或者停止消息的前进，避免这些消息传递到下一个Hook子程或者目的窗口。最近安装的钩子放在链的开始，而最早安装的钩子放在最后，也就是后加入的先获得控制权。

　　Windows 并不要求钩子子程的卸载顺序一定得和安装顺序相反。每当有一个钩子被卸载，Windows 便释放其占用的内存，并更新整个Hook链表。如果程序安装了钩子，但是在尚未卸载钩子之前就结束了，那么系统会自动为它做卸载钩子的操作。

　　钩子子程是一个应用程序定义的回调函数(CALLBACK Function),不能定义成某个类的成员函数，只能定义为普通的C函数。用以监视系统或某一特定类型的事件，这些事件可以是与某一特定线程关联的，也可以是系统中所有线程的事件。

　　钩子子程必须按照以下的语法：

　　LRESULT CALLBACK HookProc

　　(

　　int nCode,

　　WPARAM wParam,

　　LPARAM lParam

　　);

　　HookProc是应用程序定义的名字。