简介本资源面向具备一定 C 与 Windows 开发基础的 MFC 学习者聚焦全局钩子这一系统级事件监控技术帮助解决键盘输入与鼠标行为实时捕获、记录的问题。项目通过 HOOK.DLL 动态库配合 SetWindowsHookEx 设置 WH_KEYBOARD_LL 与 WH_MOUSE_LL 低级钩子将按键码、鼠标位置等数据回传至 MFC 对话框并写入文件可用于日志记录、安全监控等场景。压缩包共 80 个文件约 66.54MB包含 cpp、h 源码与 vcxproj、sln 工程文件dll、lib、exe 编译产物以及 pdb、tlog、ipch 等调试与中间文件Release 目录下可直接运行验证。已有 1397 人学习下载。读者可借此掌握钩子处理函数与 MFC 组件的交互方式、DLL 注入与消息传递流程并参考完整工程配置与文件读写实现快速搭建自己的全局输入监控程序。1. 全局钩子这件事为什么在 MFC 里总有人踩坑做 Windows 桌面工具的人迟早会碰到一个需求程序在后台也要知道用户敲了什么键、点了什么鼠标。比如做快捷键唤起、做操作录制、做输入行为统计甚至只是想在某个窗口失焦时依然能捕获热键。这时候绕不开的技术点就是MFC 全局钩子获取键盘输入和鼠标输入。我见过太多人第一次写全局钩子代码编译过了运行也没报错但键盘敲下去毫无反应。问题往往不在钩子函数本身而在几个很隐蔽的地方钩子过程必须放在 DLL 里、DLL 的位数必须和目标进程一致、消息循环所在的线程决定了钩子能不能被回调。这篇笔记就按我实际落地的顺序把 MFC 全局钩子从选型、写代码、注入 DLL、到排错完整走一遍。适合已经会写 MFC 对话框程序、但对钩子机制还停留在「抄过一段代码」阶段的开发者。2. 先分清 WH_KEYBOARD_LL 和 WH_MOUSE_LL选错类型等于白写2.1 全局钩子的两种实现路线Windows 钩子分两大类低级钩子Low-Level Hook和常规钩子如 WH_KEYBOARD、WH_MOUSE。这两者的实现难度和适用范围差别很大。低级钩子 WH_KEYBOARD_LL 和 WH_MOUSE_LL 是全局的但它们不需要注入到别的进程里。系统会把输入事件先送到安装钩子的线程消息队列由该线程调用钩子过程。这意味着你可以直接在一个普通的 MFC 对话框程序里调用 SetWindowsHookEx不需要单独写 DLL。代价是钩子过程必须在安装钩子的那个线程里执行如果那个线程被阻塞整个系统的输入响应都会变慢。常规钩子 WH_KEYBOARD 和 WH_MOUSE 是线程相关的要拦截其他进程的输入必须把钩子过程放在一个 DLL 里由系统把这个 DLL 注入到目标进程。这个 DLL 必须是可被注入的导出函数要符合规范而且 32 位和 64 位不能混用。我一般会这样选如果只是做快捷键监听、输入统计、操作录制这类不需要修改输入流的场景直接用 WH_KEYBOARD_LL 和 WH_MOUSE_LL省掉 DLL 注入的麻烦。如果确实需要拦截并修改其他进程的输入或者需要拿到更底层的键盘布局信息才走 DLL 注入路线。2.2 低级钩子的最小可用代码下面这段代码是在 MFC 对话框程序里安装低级键盘钩子和鼠标钩子的核心部分。我把它放在对话框类的成员函数里钩子过程声明为静态函数。// GlobalHookDlg.h class CGlobalHookDlg : public CDialogEx { // ... 其他成员 public: static LRESULT CALLBACK LowLevelKeyboardProc(int nCode, WPARAM wParam, LPARAM lParam); static LRESULT CALLBACK LowLevelMouseProc(int nCode, WPARAM wParam, LPARAM lParam); private: static HHOOK m_hKeyboardHook; static HHOOK m_hMouseHook; static CGlobalHookDlg* m_pThis; // 用于在静态函数里访问成员 };// GlobalHookDlg.cpp HHOOK CGlobalHookDlg::m_hKeyboardHook NULL; HHOOK CGlobalHookDlg::m_hMouseHook NULL; CGlobalHookDlg* CGlobalHookDlg::m_pThis NULL; BOOL CGlobalHookDlg::OnInitDialog() { CDialogEx::OnInitDialog(); m_pThis this; // 安装低级键盘钩子 m_hKeyboardHook SetWindowsHookEx( WH_KEYBOARD_LL, // 钩子类型低级键盘 LowLevelKeyboardProc, // 钩子过程地址 GetModuleHandle(NULL), // 当前模块句柄低级钩子可为 NULL 0 // 线程 ID0 表示全局 ); // 安装低级鼠标钩子 m_hMouseHook SetWindowsHookEx( WH_MOUSE_LL, // 钩子类型低级鼠标 LowLevelMouseProc, GetModuleHandle(NULL), 0 ); if (m_hKeyboardHook NULL || m_hMouseHook NULL) { DWORD dwErr GetLastError(); CString strMsg; strMsg.Format(_T(安装钩子失败错误码%lu), dwErr); AfxMessageBox(strMsg); } return TRUE; }这里有几个参数需要说清楚。SetWindowsHookEx 的第三个参数 hMod 在低级钩子里可以传 GetModuleHandle(NULL)也可以传 NULL因为低级钩子不需要注入 DLL系统不依赖这个句柄去加载模块。第四个参数 dwThreadId 传 0 表示钩子关联到所有现有线程也就是全局生效。如果传了某个线程 ID就只对该线程生效。钩子过程本身长这样LRESULT CALLBACK CGlobalHookDlg::LowLevelKeyboardProc(int nCode, WPARAM wParam, LPARAM lParam) { if (nCode HC_ACTION) { KBDLLHOOKSTRUCT* pKb (KBDLLHOOKSTRUCT*)lParam; if (wParam WM_KEYDOWN || wParam WM_SYSKEYDOWN) { // pKb-vkCode 是虚拟键码 // 在这里处理按键按下 if (m_pThis) { m_pThis-OnGlobalKeyDown(pKb-vkCode); } } } // 必须调用 CallNextHookEx否则会阻断后续钩子链 return CallNextHookEx(m_hKeyboardHook, nCode, wParam, lParam); }鼠标钩子过程类似只是结构体换成 MSLLHOOKSTRUCTwParam 是 WM_LBUTTONDOWN、WM_RBUTTONDOWN、WM_MOUSEMOVE 这些消息。注意钩子过程里不要做耗时操作。低级钩子运行在安装它的线程上如果这个线程被阻塞整个系统的键盘鼠标响应都会卡住。我一般只在这里做数据拷贝把处理逻辑丢到另一个线程或消息队列里。2.3 为什么低级钩子不需要 DLL 却依然能全局生效这是很多人困惑的点。常规钩子需要 DLL 是因为系统要把你的代码映射到目标进程的地址空间里执行。而低级钩子不一样它拦截的是输入事件进入系统消息队列之前的阶段系统直接把事件发给安装钩子的线程由该线程调用你的钩子过程。所以你的代码始终在自己的进程里跑不需要注入。这也解释了另一个现象如果你的 MFC 程序没有消息循环或者消息循环所在的线程被阻塞低级钩子就不会被回调。因为系统是通过消息机制把事件投递给你的线程的。3. 用 DLL 注入实现常规全局钩子完整步骤和参数配置3.1 什么时候必须走 DLL 路线如果你需要拦截的是 WH_KEYBOARD 或 WH_MOUSE或者需要拿到键盘布局、扫描码等低级钩子拿不到的信息就必须用 DLL。另外如果你的程序是控制台程序没有消息循环低级钩子也不好用这时候 DLL 注入反而是更稳的选择。DLL 路线的核心是写一个导出钩子过程的 DLL在 DLL 里调用 SetWindowsHookEx然后在主程序里加载这个 DLL 并触发安装。3.2 DLL 工程的创建和导出函数在 Visual Studio 里新建一个 MFC 动态链接库工程或者 Win32 DLL 工程。关键是导出两个函数安装钩子和卸载钩子。// HookDll.h #pragma once #ifdef HOOKDLL_EXPORTS #define HOOKDLL_API __declspec(dllexport) #else #define HOOKDLL_API __declspec(dllimport) #endif extern C HOOKDLL_API BOOL InstallHook(HWND hWndNotify); extern C HOOKDLL_API BOOL UninstallHook();// HookDll.cpp #include pch.h #include HookDll.h static HHOOK g_hKeyboardHook NULL; static HHOOK g_hMouseHook NULL; static HWND g_hWndNotify NULL; // 用于向主程序发送消息 // 键盘钩子过程 static LRESULT CALLBACK KeyboardProc(int nCode, WPARAM wParam, LPARAM lParam) { if (nCode HC_ACTION) { if (wParam WM_KEYDOWN || wParam WM_SYSKEYDOWN) { KBDLLHOOKSTRUCT* pKb (KBDLLHOOKSTRUCT*)lParam; if (g_hWndNotify) { // 把按键消息转发给主程序窗口 PostMessage(g_hWndNotify, WM_USER 100, pKb-vkCode, 0); } } } return CallNextHookEx(g_hKeyboardHook, nCode, wParam, lParam); } // 鼠标钩子过程 static LRESULT CALLBACK MouseProc(int nCode, WPARAM wParam, LPARAM lParam) { if (nCode HC_ACTION) { MSLLHOOKSTRUCT* pMs (MSLLHOOKSTRUCT*)lParam; if (g_hWndNotify) { PostMessage(g_hWndNotify, WM_USER 101, wParam, (LPARAM)pMs-pt.x); } } return CallNextHookEx(g_hMouseHook, nCode, wParam, lParam); } BOOL InstallHook(HWND hWndNotify) { g_hWndNotify hWndNotify; HINSTANCE hInst GetModuleHandle(_T(HookDll.dll)); g_hKeyboardHook SetWindowsHookEx(WH_KEYBOARD, KeyboardProc, hInst, 0); g_hMouseHook SetWindowsHookEx(WH_MOUSE, MouseProc, hInst, 0); return (g_hKeyboardHook ! NULL g_hMouseHook ! NULL); } BOOL UninstallHook() { BOOL bRet TRUE; if (g_hKeyboardHook) { bRet UnhookWindowsHookEx(g_hKeyboardHook); g_hKeyboardHook NULL; } if (g_hMouseHook) { bRet UnhookWindowsHookEx(g_hMouseHook); g_hMouseHook NULL; } return bRet; }这里的关键参数是 SetWindowsHookEx 的第三个参数 hMod必须传 DLL 在当前进程里的模块句柄。系统会用这个句柄去获取 DLL 路径然后把这个 DLL 注入到目标进程。如果传 NULL 或者传错了钩子安装会失败GetLastError 返回 1428 或 126。3.3 主程序如何加载 DLL 并接收钩子消息主程序这边要做三件事加载 DLL、调用 InstallHook 传入接收消息的窗口句柄、在窗口消息处理里解析钩子发来的消息。// MainDlg.cpp typedef BOOL (*PFN_INSTALLHOOK)(HWND); typedef BOOL (*PFN_UNINSTALLHOOK)(); void CMainDlg::OnBnClickedButtonStartHook() { HMODULE hDll LoadLibrary(_T(HookDll.dll)); if (hDll NULL) { AfxMessageBox(_T(加载 HookDll.dll 失败)); return; } PFN_INSTALLHOOK pfnInstall (PFN_INSTALLHOOK)GetProcAddress(hDll, InstallHook); if (pfnInstall NULL) { AfxMessageBox(_T(找不到 InstallHook 导出函数)); FreeLibrary(hDll); return; } if (!pfnInstall(GetSafeHwnd())) { AfxMessageBox(_T(安装钩子失败)); } }消息处理部分// MainDlg.h 中添加消息映射 afx_msg LRESULT OnHookKeyDown(WPARAM wParam, LPARAM lParam); afx_msg LRESULT OnHookMouseEvent(WPARAM wParam, LPARAM lParam); // MainDlg.cpp 消息映射 BEGIN_MESSAGE_MAP(CMainDlg, CDialogEx) ON_MESSAGE(WM_USER 100, CMainDlg::OnHookKeyDown) ON_MESSAGE(WM_USER 101, CMainDlg::OnHookMouseEvent) END_MESSAGE_MAP() LRESULT CMainDlg::OnHookKeyDown(WPARAM wParam, LPARAM lParam) { UINT vkCode (UINT)wParam; CString strMsg; strMsg.Format(_T(全局按键0x%02X), vkCode); // 更新界面或记录日志 return 0; }3.4 32 位和 64 位必须匹配这是 DLL 注入路线里最容易翻车的地方。如果你的主程序是 64 位DLL 也必须是 64 位主程序是 32 位DLL 必须是 32 位。因为系统要把 DLL 注入到目标进程而目标进程的位数决定了能加载什么位数的 DLL。更麻烦的是如果你的 64 位程序安装全局钩子系统会尝试把 64 位 DLL 注入到所有进程包括 32 位进程。32 位进程加载不了 64 位 DLL注入就会失败钩子对那个进程不生效。反过来也一样。我一般的做法是如果目标环境里 32 位和 64 位进程都有就编译两个版本的 DLL在安装钩子时根据目标进程的位数分别安装。但这样复杂度很高。更实际的做法是如果只是做输入监听优先用低级钩子完全绕开位数问题。4. 避坑全局钩子最常见的 5 个翻车现场4.1 钩子装上了但收不到任何消息现象SetWindowsHookEx 返回了非 NULL 句柄但钩子过程从来没被调用过。原因最常见的是消息循环问题。低级钩子依赖安装线程的消息循环来接收事件。如果你的 MFC 程序在 OnInitDialog 里安装钩子但对话框是用 DoModal 弹出的消息循环是有的一般没问题。但如果是在一个没有消息循环的工作线程里安装钩子就不会被回调。解决确保安装钩子的线程有消息循环。在 MFC 里主 UI 线程天然有消息循环。如果必须在工作线程里装要么给那个线程加消息循环要么改用 DLL 注入路线。4.2 钩子过程里调用 MFC 对象导致崩溃现象程序运行一段时间后随机崩溃崩溃位置在钩子过程里。原因钩子过程可能在不同的线程上下文里被调用而 MFC 对象如 CWnd、CString很多不是线程安全的。在钩子过程里直接操作 MFC 界面对象很容易出问题。解决钩子过程里只做最原始的数据拷贝把数据通过 PostMessage 发到主线程在主线程的消息处理函数里再操作 MFC 对象。不要用 SendMessage因为 SendMessage 是同步的会阻塞钩子过程。4.3 卸载钩子后程序退出崩溃现象调用 UnhookWindowsHookEx 之后程序退出时崩溃。原因钩子过程还在被系统调用但 DLL 已经被卸载了或者钩子句柄已经被置空但系统还在回调。解决卸载钩子的顺序要对。先调用 UnhookWindowsHookEx再 FreeLibrary。而且 UnhookWindowsHookEx 之后要确保没有正在执行的钩子过程。我一般会在卸载前先把接收消息的窗口句柄置空让钩子过程里的 PostMessage 不往一个已经销毁的窗口发消息。4.4 杀毒软件拦截或系统卡顿现象程序一运行就被杀毒软件报毒或者系统输入明显变卡。原因全局钩子本身是一种敏感行为很多安全软件会监控。另外如果钩子过程里做了耗时操作每次按键鼠标事件都会卡一下。解决钩子过程里绝对不要做文件读写、网络请求、复杂计算。只做数据拷贝和消息投递。如果确实需要处理丢到独立线程的队列里。另外给程序加上数字签名可以减少被误报的概率。4.5 在 Windows 10/11 上部分按键收不到现象大部分按键能收到但某些系统热键如 Win 键组合收不到。原因某些系统级热键在到达低级钩子之前就被系统处理了。另外UAC 提权后的窗口和普通权限窗口之间的输入隔离也会导致钩子失效。解决如果目标程序需要捕获所有按键包括系统热键程序本身需要以管理员权限运行。但即使这样CtrlAltDel 这类安全序列也是捕获不到的这是系统设计如此。5. 进阶把钩子数据落到可用状态的两个技巧5.1 用环形缓冲区解耦钩子过程和业务处理钩子过程最怕阻塞。我的做法是在 DLL 里维护一个环形缓冲区钩子过程只负责把事件写进缓冲区另一个线程从缓冲区读出来做业务处理。// 简化的环形缓冲区结构 struct HookEvent { DWORD dwType; // 1键盘2鼠标 DWORD dwParam1; // vkCode 或鼠标消息 DWORD dwParam2; // 坐标或保留 DWORD dwTime; }; class CRingBuffer { public: CRingBuffer(size_t size) : m_size(size), m_head(0), m_tail(0) { m_pData new HookEvent[size]; } ~CRingBuffer() { delete[] m_pData; } bool Push(const HookEvent evt) { size_t next (m_head 1) % m_size; if (next m_tail) return false; // 满了 m_pData[m_head] evt; m_head next; return true; } bool Pop(HookEvent evt) { if (m_tail m_head) return false; // 空了 evt m_pData[m_tail]; m_tail (m_tail 1) % m_size; return true; } private: HookEvent* m_pData; size_t m_size; volatile size_t m_head; volatile size_t m_tail; };钩子过程里只调用 Push处理线程循环调用 Pop。这样钩子过程执行时间极短不会拖慢系统输入。5.2 用 GetAsyncKeyState 做钩子失效时的兜底有些场景下钩子会被系统或安全软件干掉但你又必须知道某个键是否按下。这时候可以用 GetAsyncKeyState 做轮询兜底。// 在定时器里轮询 void CMainDlg::OnTimer(UINT_PTR nIDEvent) { if (nIDEvent TIMER_POLL_KEY) { // 检查 F12 是否按下 if (GetAsyncKeyState(VK_F12) 0x8000) { // 处理 F12 按下 } } CDialogEx::OnTimer(nIDEvent); }GetAsyncKeyState 的返回值最高位表示当前是否按下。这种方式不需要钩子但只能检测按键状态拿不到按键顺序和精确时间而且轮询间隔决定了响应速度。我一般只在钩子不可靠的极端场景下用它做补充不作为主方案。5.3 验证钩子是否真正生效的检查清单写完代码别急着说「好了」按这个清单过一遍检查项验证方法常见问题钩子句柄非空SetWindowsHookEx 返回值判断返回 NULL 时看 GetLastError钩子过程被调用在钩子过程里写日志或计数没日志说明消息循环有问题全局生效切到其他程序按键测试只在自身窗口生效说明 dwThreadId 传错了卸载干净退出前调用 UnhookWindowsHookEx不卸载会导致其他程序输入异常位数匹配32 位程序用 32 位 DLL混用会导致注入失败最后说一个我自己的习惯每次写完钩子代码先在一个干净的虚拟机里跑一遍用按键精灵类的工具模拟输入确认钩子能收到再上真机。因为钩子这东西一旦出问题影响的不只是自己的程序而是整个系统的输入体验。希望帮到你。本文还有配套的精品资源点击获取