Windows 消息大全
在高级语言中，如C和PASCAL等等，我们不再直接对硬件资源进行操作，而是面向于问题的解决，这主要体现在数据抽象化和程序的结构化。例如我们用变量名来存取数据，而不再关心这个数据究竟在内存的什么地方。这样，对硬件资源的使用方式完全交给了编译器去处理。不过，一些基本的规则还是存在的，而且大多数编译器都遵循一些规范，这使得我们在阅读反汇编代码的时候日子好过一点。这里主要讲讲汇编代码中一些和高级语言对应的地方。
1. 普通变量。通常声明的变量是存放在内存中的。编译器把变量名和一个内存地址联系起来（这里要注意的是，所谓的"确定的地址"是对编译器而言在编译阶段算出的一个临时的地址。在连接成可执行文件并加载到内存中执行的时候要进行重定位等一系列调整，才生成一个实时的内存地址，不过这并不影响程序的逻辑，所以先不必太在意这些细节，只要知道所有的函数名字和变量名字都对应一个内存的地址就行了），所以变量名在汇编代码中就表现为一个有效地址，就是放在方括号中的操作数。例如，在C文件中声明：
int my_age;
这个整型的变量就存在一个特定的内存位置。语句 my_age= 32; 在反汇编代码中可能表现为：
mov word ptr [007E85DA], 20
所以在方括号中的有效地址对应的是变量名。又如：
char my_name[11] = "lianzi2000";
这样的说明也确定了一个地址，对应于my_name. 假设地址是007E85DC,则内存中[007E85DC]='l',[007E85DD]='i', etc. 对my_name的访问也就是对这地址处的数据访问。
指针变量其本身也同样对应一个地址,因为它本身也是一个变量。如：
char *your_name;
这时也确定变量"your_name"对应一个内存地址，假设为007E85F0. 语句your_name=my_name;很可能表现为：
mov [007E85F0], 007E85DC ;your_name的内容是my_name的地址。
2. 寄存器变量
在C和C++中允许说明寄存器变量。register int i; 指明i是寄存器存放的整型变量。通常，编译器都把寄存器变量放在esi和edi中。寄存器是在cpu内部的结构，对它的访问要比内存快得多，所以把频繁使用的变量放在寄存器中可以提高程序执行速度。
3. 数组
不管是多少维的数组，在内存中总是把所有的元素都连续存放，所以在内存中总是一维的。例如，int i_array[2][3]; 在内存确定了一个地址，从该地址开始的12个字节用来存贮该数组的元素。所以变量名i_array对应着该数组的起始地址，也即是指向数组的第一个元素。存放的顺序一般是i_array[0][0],[0][1],[0][2],[1][0],[1][1],[1][2] 即最右边的下标变化最快。当需要访问某个元素时，程序就会从多维索引值换算成一维索引，如访问i_array[1][1],换算成内存中的一维索引值就是1*3+1=4.这种换算可能在编译的时候就可以确定，也可能要到运行时才可以确定。无论如何，如果我们把i_array对应的地址装入一个通用寄存器作为基址，则对数组元素的访问就是一个计算有效地址的问题：
; i_array[1][1]=0x16
lea ebx,xxxxxxxx ;i_array 对应的地址装入ebx
mov edx,04 ;访问i_array[1][1]，编译时就已经确定
mov word ptr [ebx+edx*2], 16 ;
当然，取决于不同的编译器和程序上下文，具体实现可能不同，但这种基本的形式是确定的。从这里也可以看到比例因子的作用（还记得比例因子的取值为1，2，4或8吗？），因为在目前的系统中简单变量总是占据1,2,4或者8个字节的长度，所以比例因子的存在为在内存中的查表操作提供了极大方便。
4. 结构和对象
结构和对象的成员在内存中也都连续存放，但有时为了在字边界或双字边界对齐，可能有些微调整，所以要确定对象的大小应该用sizeof操作符而不应该把成员的大小相加来计算。当我们声明一个结构变量或初始化一个对象时，这个结构变量和对象的名字也对应一个内存地址。举例说明：
struct tag_info_struct
{
int age;
int sex;
float height;
float weight;
} marry;
变量marry就对应一个内存地址。在这个地址开始，有足够多的字节(sizeof(marry))容纳所有的成员。每一个成员则对应一个相对于这个地址的偏移量。这里假设此结构中所有的成员都连续存放，则age的相对地址为0，sex为2, height 为4,weight为8。
; marry.sex=0;
lea ebx,xxxxxxxx ;marry 对应的内存地址
mov word ptr [ebx+2], 0
......
对象的情况基本相同。注意成员函数具体的实现在代码段中，在对象中存放的是一个指向该函数的指针。
5. 函数调用
一个函数在被定义时，也确定一个内存地址对应于函数名字。如：
long comb(int m, int n)
{
long temp;
.....
return temp;
}
这样，函数comb就对应一个内存地址。对它的调用表现为：
CALL xxxxxxxx ;comb对应的地址。这个函数需要两个整型参数，就通过堆栈来传递：
；lresult=comb(2,3);
push 3
push 2
call xxxxxxxx
mov dword ptr [yyyyyyyy], eax ;yyyyyyyy是长整型变量lresult的地址
这里请注意两点。第一，在C语言中，参数的压栈顺序是和参数顺序相反的，即后面的参数先压栈，所以先执行push 3. 第二，在我们讨论的32位系统中，如果不指明参数类型，缺省的情况就是压入32位双字。因此，两个push指令总共压入了两个双字，即8个字节的数据。然后执行call指令。call 指令又把返回地址，即下一条指令(mov dword ptr....)的32位地址压入，然后跳转到xxxxxxxx去执行。
在comb子程序入口处(xxxxxxxx)，堆栈的状态是这样的：
03000000 （请回忆small endian 格式）
02000000
yyyyyyyy <--ESP 指向返回地址
前面讲过，子程序的标准起始代码是这样的：
push ebp ;保存原先的ebp
mov ebp, esp;建立框架指针
sub esp, XXX;给临时变量预留空间
.....
执行push ebp之后，堆栈如下：
03000000
02000000
yyyyyyyy
old ebp <---- esp 指向原来的ebp
执行mov ebp,esp之后，ebp 和esp 都指向原来的ebp. 然后sub esp, xxx 给临时变量留空间。这里，只有一个临时变量temp,是一个长整数，需要4个字节，所以xxx=4。这样就建立了这个子程序的框架：
03000000
02000000
yyyyyyyy
old ebp <---- 当前ebp指向这里
temp
所以子程序可以用[ebp+8]取得第一参数(m),用[ebp+C]来取得第二参数(n)，以此类推。临时变量则都在ebp下面，如这里的temp就对应于[ebp-4].
子程序执行到最后，要返回temp的值：
mov eax,[ebp-04]
然后执行相反的操作以撤销框架：
mov esp,ebp ;这时esp 和ebp都指向old ebp,临时变量已经被撤销
pop ebp ;撤销框架指针，恢复原ebp.
这是esp指向返回地址。紧接的retn指令返回主程序：
retn 4
该指令从堆栈弹出返回地址装入EIP,从而返回到主程序去执行call后面的指令。同时调整esp(esp=esp+4*2),从而撤销参数，使堆栈恢复到调用子程序以前的状态，这就是堆栈的平衡。调用子程序前后总是应该维持堆栈的平衡。从这里也可以看到，临时变量temp已经随着子程序的返回而消失，所以试图返回一个指向临时变量的指针是非法的。
为了更好地支持高级语言，INTEL还提供了指令Enter 和Leave 来自动完成框架的建立和撤销。Enter 接受两个操作数，第一个指明给临时变量预留的字节数，第二个是子程序嵌套调用层数，一般都为0。enter xxx,0 相当于:
push ebp
mov ebp,esp
sub esp,xxx
leave 则相当于：
mov esp,ebp
pop ebp
=============================================================
- 作者： saulia 2005年03月15日, 星期二 15:05 回复（0） | 引用（0） 加入博采
汇编语言的准备知识--给初次接触汇编者(3)
好了，言归正传。大多数汇编语言书都是面向汇编语言编程的，我的帖是面向机器和反汇编的，希望能起到相辅相成的作用。有了前面两篇的基础，汇编语言书上对大多数指令的介绍应该能够看懂、理解了。这里再讲一讲一些常见而操作比较复杂的指令。我这里讲的都是机器的硬指令，不针对任何汇编器。
无条件转移指令jmp:
这种跳转指令有三种方式：短(short)，近(near)和远(far)。短是指要跳至的目标地址与当前地址前后相差不超过128字节。近是指跳转的目标地址与当前地址在用一个段内，即CS的值不变，只改变EIP的值。远指跳到另一个代码段去执行，CS/EIP都要改变。短和近在编码上有所不同，在汇编指令中一般很少显式指定，只要写 jmp 目标地址，几乎任何汇编器都会根据目标地址的距离采用适当的编码。远转移在32位系统中很少见到，原因前面已经讲过，由于有足够的线性空间，一个程序很少需要两个代码段，就连用到的系统模块也被映射到同一个地址空间。
jmp的操作数自然是目标地址，这个指令支持直接寻址和间接寻址。间接寻址又可分为寄存器间接寻址和内存间接寻址。举例如下(32位系统):
jmp 8E347D60 ;直接寻址段内跳转
jmp EBX ;寄存器间接寻址：只能段内跳转
jmp dword ptr [EBX] ;内存间接寻址，段内跳转
jmp dword ptr [00903DEC] ;同上
jmp fward ptr [00903DF0] ;内存间接寻址，段间跳转
解释：
在32位系统中，完整目标地址由16位段选择子和32位偏移量组成。因为寄存器的宽度是32位，因此寄存器间接寻址只能给出32位偏移量，所以只能是段内近转移。在内存间接寻址时，指令后面是方括号内的有效地址，在这个地址上存放跳转的目标地址。比如，在[00903DEC]处有如下数据：7C 82 59 00 A7 01 85 65 9F 01
内存字节是连续存放的，如何确定取多少作为目标地址呢？dword ptr 指明该有效地址指明的是双字，所以取
0059827C作段内跳转。反之，fward ptr 指明后面的有效地址是指向48位完全地址，所以取19F:658501A7 做远跳转。
注意：在保护模式下，如果段间转移涉及优先级的变化，则有一系列复杂的保护检查，现在可不加理会。将来等各位功力提升以后可以自己去学习。
条件转移指令jxx:只能作段内转移，且只支持直接寻址。
=========================================
调用指令CALL:
Call的寻址方式与jmp基本相同，但为了从子程序返回，该指令在跳转以前会把紧接着它的下一条指令的地址压进堆栈。如果是段内调用（目标地址是32位偏移量），则压入的也只是一个偏移量。如果是段间调用（目标地址是48位全地址），则也压入下一条指令的完全地址。同样，如果段间转移涉及优先级的变化，则有一系列复杂的保护检查。
与之对应retn/retf指令则从子程序返回。它从堆栈上取得返回地址（是call指令压进去的）并跳到该地址执行。retn取32位偏移量作段内返回，retf取48位全地址作段间返回。retn/f 还可以跟一个立即数作为操作数，该数实际上是从堆栈上传给子程序的参数的个数（以字计）返回后自动把堆栈指针esp加上指定的数*2，从而丢弃堆栈中的参数。这里具体的细节留待下一篇讲述。
虽然call和ret设计为一起工作，但它们之间没有必然的联系。就是说，如果你直接用push指令向堆栈中压入一个数，然后执行ret，他同样会把你压入的数作为返回地址，而跳到那里去执行。这种非正常的流程转移可以被用作反跟踪手段。
==========================================
中断指令INT n
在保护模式下，这个指令必定会被操作系统截获。在一般的PE程序中，这个指令已经不太见到了，而在DOS时代，中断是调用操作系统和BIOS的重要途径。现在的程序可以文质彬彬地用名字来调用windows功能，如 call user32!getwindowtexta。从程序角度看，INT指令把当前的标志寄存器先压入堆栈，然后把下一条指令的完全地址也压入堆栈，最后根据操作数n来检索"中断描述符表"，试图转移到相应的中断服务程序去执行。通常，中断服务程序都是操作系统的核心代码，必然会涉及到优先级转换和保护性检查、堆栈切换等等，细节可以看一些高级的教程。
与之相应的中断返回指令IRET做相反的操作。它从堆栈上取得返回地址，并用来设置CS:EIP,然后从堆栈中弹出标志寄存器。注意，堆栈上的标志寄存器值可能已经被中断服务程序所改变，通常是进位标志C, 用来表示功能是否正常完成。同样的，IRET也不一定非要和INT指令对应，你可以自己在堆栈上压入标志和地址，然后执行IRET来实现流程转移。实际上，多任务操作系统常用此伎俩来实现任务转换。
广义的中断是一个很大的话题，有兴趣可以去查阅系统设计的书籍。
============================================
装入全指针指令LDS,LES,LFS,LGS,LSS
这些指令有两个操作数。第一个是一个通用寄存器，第二个操作数是一个有效地址。指令从该地址取得48位全指针，将选择符装入相应的段寄存器，而将32位偏移量装入指定的通用寄存器。注意在内存中，指针的存放形式总是32位偏移量在前面，16位选择符在后面。装入指针以后，就可以用DS:[ESI]这样的形式来访问指针指向的数据了。
============================================
字符串操作指令
这里包括CMPS,SCAS,LODS,STOS,MOVS,INS和OUTS等。这些指令有一个共同的特点，就是没有显式的操作数，而由硬件规定使用DS:[ESI]指向源字符串，用ES:[EDI]指向目的字符串，用AL/AX/EAX做暂存。这是硬件规定的，所以在使用这些指令之前一定要设好相应的指针。
这里每一个指令都有3种宽度形式，如CMPSB(字节比较)、CMPSW(字比较)、CMPSD(双字比较)等。
CMPSB:比较源字符串和目标字符串的第一个字符。若相等则Z标志置1。若不等则Z标志置0。指令执行完后，ESI 和EDI都自动加1，指向源/目标串的下一个字符。如果用CMPSW,则比较一个字，ESI/EDI自动加2以指向下一个字。
如果用CMPSD,则比较一个双字，ESI/EDI自动加4以指向下一个双字。（在这一点上这些指令都一样，不再赘述）
SCAB/W/D 把AL/AX/EAX中的数值与目标串中的一个字符/字/双字比较。
LODSB/W/D 把源字符串中的一个字符/字/双字送入AL/AX/EAX
STOSB/W/D 把AL/AX/EAX中的直送入目标字符串中
MOVSB/W/D 把源字符串中的字符/字/双字复制到目标字符串
INSB/W/D 从指定的端口读入字符/字/双字到目标字符串中，端口号码由DX寄存器指定。
OUTSB/W/D 把源字符串中的字符/字/双字送到指定的端口，端口号码由DX寄存器指定。
串操作指令经常和重复前缀REP和循环指令LOOP结合使用以完成对整个字符串的操作。而REP前缀和LOOP指令都有硬件规定用ECX做循环计数器。举例：
LDS ESI,SRC_STR_PTR
LES EDI,DST_STR_PTR
MOV ECX,200
REP MOVSD
上面的代码从SRC_STR拷贝200个双字到DST_STR. 细节是：REP前缀先检查ECX是否为0，若否则执行一次MOVSD,ECX自动减1，然后执行第二轮检查、执行......直到发现ECX=0便不再执行MOVSD,结束重复而执行下面的指令。
LDS ESI,SRC_STR_PTR
MOV ECX,100
LOOP1:
LODSW
.... (deal with value in AX)
LOOP LOOP1
.....
从SRC_STR处理100个字。同样，LOOP指令先判断ECX是否为零，来决定是否循环。每循环一轮ECX自动减1。
REP和LOOP 都可以加上条件，变成REPZ/REPNZ 和 LOOPZ/LOOPNZ. 这是除了ECX外，还用检查零标志Z. REPZ 和LOOPZ在Z为1时继续循环，否则退出循环，即使ECX不为0。REPNZ/LOOPNZ则相反。
- 作者： saulia 2005年03月15日, 星期二 15:04 回复（0） | 引用（0） 加入博采
汇编语言的准备知识--给初次接触汇编者(2)
INTEL 的CPU 可以工作在两种寻址模式:实模式和保护模式. 前者已经过时,就不讲了, WINDOWS 现在是32位保护模式的系统, PE 文件就基本是运行在一个32位线性地址空间, 所以这里就只介绍32位线性空间的寻址方式.
其实线性地址的概念是很直观的, 就想象一系列字节排成一长队,第一个字节编号为0, 第二个编号位1, .... 一直到4294967295(十六进制FFFFFFFF,这是32位二进制数所能表达的最大值了). 这已经有4GB的容量! 足够容纳一个程序所有的代码和数据. 当然, 这并不表示你的机器有那么多内存. 物理内存的管理和分配是很复杂的内容, 初学者不必在意, 总之, 从程序本身的角度看, 就好象是在那么大的内存中.
在INTEL系统中, 内存地址总是由"段选择符:有效地址"的方式给出.段选择符(SELECTOR)存放在某一个段寄存器中, 有效地址则可由不同的方式给出. 段选择符通过检索段描述符确定段的起始地址, 长度(又称段限制), 粒度, 存取权限, 访问性质等. 先不用深究这些, 只要知道段选择符可以确定段的性质就行了. 一旦由选择符确定了段, 有效地址相对于段的基地址开始算. 比如由选择符1A7选择的数据段, 其基地址是400000, 把1A7 装入DS中, 就确定使用该数据段. DS:0 就指向线性地址400000. DS:1F5278 就指向线性地址5E5278. 我们在一般情况下, 看不到也不需要看到段的起始地址, 只需要关心在该段中的有效地址就行了. 在32位系统中, 有效地址也是由32位数字表示, 就是说, 只要有一个段就足以涵盖4GB线性地址空间, 为什么还要有不同的段选择符呢? 正如前面所说的, 这是为了对数据进行不同性质的访问. 非法的访问将产生异常中断, 而这正是保护模式的核心内容, 是构造优先级和多任务系统的基础. 这里有涉及到很多深层的东西, 初学者先可不必理会.
有效地址的计算方式是: 基址+间址*比例因子+偏移量. 这些量都是指段内的相对于段起始地址的量度, 和段的起始地址没有关系. 比如, 基址=100000, 间址=400, 比例因子=4, 偏移量=20000, 则有效地址为:
100000+400*4+20000=100000+1000+20000=121000. 对应的线性地址是400000+121000=521000. (注意, 都是十六进制数).
基址可以放在任何32位通用寄存器中, 间址也可以放在除ESP外的任何一个通用寄存器中. 比例因子可以是1, 2, 4 或8. 偏移量是立即数. 如: [EBP+EDX*8+200]就是一个有效的有效地址表达式. 当然, 多数情况下用不着这么复杂, 间址,比例因子和偏移量不一定要出现.
内存的基本单位是字节(BYTE). 每个字节是8个二进制位, 所以每个字节能表示的最大的数是11111111, 即十进制的255. 一般来说, 用十六进制比较方便, 因为每4个二进制位刚好等于1个十六进制位, 11111111b = 0xFF. 内存中的字节是连续存放的, 两个字节构成一个字(WORD), 两个字构成一个双字(DWORD). 在INTEL架构中, 采用small endian格式, 即在内存中,高位字节在低位字节后面. 举例说明:十六进制数803E7D0C, 每两位是一个字节, 在内存中的形式是: 0C 7D 3E 80. 在32位寄存器中则是正常形式,如在EAX就是803E7D0C. 当我们的形式地址指向这个数的时候,实际上是指向第一个字节,即0C. 我们可以指定访问长度是字节, 字或者双字. 假设DS:[EDX]指向第一个字节0C:
mov AL, byte ptr DS:[EDX] ;把字节0C存入AL
mov AX, word ptr DS:[EDX] ;把字7D0C存入AX
mov EAX, dword ptr DS:[EDX] ;把双字803E7D0C存入EAX
在段的属性中,有一个就是缺省访问宽度.如果缺省访问宽度为双字(在32位系统中经常如此),那么要进行字节或字的访问,就必须用byte/word ptr显式地指明.
缺省段选择：如果指令中只有作为段内偏移的有效地址，而没有指明在哪一个段里的时候，有如下规则：
如果用ebp和esp作为基址或间址，则认为是在SS确定的段中；
其他情况，都认为是在DS确定的段中。
如果想打破这个规则，就必须使用段超越前缀。举例如下：
mov eax, dword ptr [edx] ;缺省使用DS,把DS:[EDX]指向的双字送入eax
mov ebx, dword ptr ES:[EDX] ;使用ES:段超越前缀，把ES:[EDX]指向的双字送入ebx
堆栈：
堆栈是一种数据结构，严格地应该叫做"栈"。"堆"是另一种类似但不同的结构。SS 和 ESP 是INTEL对栈这种数据结构的硬件支持。push/pop指令是专门针对栈结构的特定操作。SS指定一个段为栈段，ESP则指出当前的栈顶。push xxx 指令作如下操作：
把ESP的值减去4；
把xxx存入SS:[ESP]指向的内存单元。
这样，esp的值减小了4，并且SS:[ESP]指向新压入的xxx. 所以栈是"倒着长"的，从高地址向低地址方向扩展。pop yyy 指令做相反的操作，把SS:[ESP]指向的双字送到yyy指定的寄存器或内存单元，然后把esp的值加上4。这时，认为该值已被弹出，不再在栈上了，因为它虽然还暂时存在在原来的栈顶位置，但下一个push操作就会把它覆盖。因此，在栈段中地址低于esp的内存单元中的数据均被认为是未定义的。
最后,有一个要注意的事实是,汇编语言是面向机器的,指令和机器码基本上是一一对应的,所以它们的实现取决于硬件.有些看似合理的指令实际上是不存在的,比如:
mov DS:[edx], ds:[ecx] ;内存单元之间不能直接传送
mov DS, 1A7 ;段寄存器不能直接由立即数赋值
mov EIP, 3D4E7 ;不能对指令指针直接操作.
- 作者： saulia 2005年03月15日, 星期二 15:02 回复（0） | 引用（0） 加入博采
汇编语言的准备知识--给初次接触汇编者(1)
============================
x86汇编语言的指令,其操作对象是CPU上的寄存器,系统内存,或者立即数. 有些指令表面上没有操作数, 或者看上去缺少操作数, 其实该指令有内定的操作对象, 比如push指令, 一定是对SS:ESP指定的内存操作, 而cdq的操作对象一定是eax / edx.
在汇编语言中,寄存器用名字来访问. CPU 寄存器有好几类, 分别有不同的用处:
1. 通用寄存器:
EAX,EBX,ECX,EDX,ESI,EDI,EBP,ESP(这个虽然通用,但很少被用做除了堆栈指针外的用途)
这些32位可以被用作多种用途,但每一个都有"专长". EAX 是"累加器"(accumulator), 它是很多加法乘法指令的缺省寄存器. EBX 是"基地址"(base)寄存器, 在内存寻址时存放基地址. ECX 是计数器(counter), 是重复(REP)前缀指令和LOOP指令的内定计数器. EDX是...(忘了..哈哈)但它总是被用来放整数除法产生的余数. 这4个寄存器的低16位可以被单独访问,分别用AX,BX,CX和DX. AX又可以单独访问低8位(AL)和高8位(AH), BX,CX,DX也类似. 函数的返回值经常被放在EAX中.
ESI/EDI分别叫做"源/目标索引寄存器"(source/destination index),因为在很多字符串操作指令中, DS:ESI指向源串,而ES:EDI指向目标串.
EBP是"基址指针"(BASE POINTER), 它最经常被用作高级语言函数调用的"框架指针"(frame pointer). 在破解的时候,经常可以看见一个标准的函数起始代码:
push ebp ;保存当前ebp
mov ebp,esp ;EBP设为当前堆栈指针
sub esp, xxx ;预留xxx字节给函数临时变量.
...
这样一来,EBP 构成了该函数的一个框架, 在EBP上方分别是原来的EBP, 返回地址和参数. EBP下方则是临时变量. 函数返回时作 mov esp,ebp/pop ebp/ret 即可.
ESP 专门用作堆栈指针.
2. 段寄存器:
CS(Code Segment，代码段) 指定当前执行的代码段. EIP (Instruction pointer, 指令指针)则指向该段中一个具体的指令. CS:EIP指向哪个指令, CPU 就执行它. 一般只能用jmp, ret, jnz, call 等指令来改变程序流程,而不能直接对它们赋值.
DS(DATA SEGMENT, 数据段) 指定一个数据段. 注意:在当前的计算机系统中, 代码和数据没有本质差别, 都是一串二进制数, 区别只在于你如何用它. 例如, CS 制定的段总是被用作代码, 一般不能通过CS指定的地址去修改该段. 然而,你可以为同一个段申请一个数据段描述符"别名"而通过DS来访问/修改. 自修改代码的程序常如此做.
ES,FS,GS 是辅助的段寄存器, 指定附加的数据段.
SS(STACK SEGMENT)指定当前堆栈段. ESP 则指出该段中当前的堆栈顶. 所有push/pop 系列指令都只对SS:ESP指出的地址进行操作.
3. 标志寄存器(EFLAGS):
该寄存器有32位,组合了各个系统标志. EFLAGS一般不作为整体访问, 而只对单一的标志位感兴趣. 常用的标志有:
进位标志C(CARRY), 在加法产生进位或减法有借位时置1, 否则为0.
零标志Z(ZERO), 若运算结果为0则置1, 否则为0
符号位S(SIGN), 若运算结果的最高位置1, 则该位也置1.
溢出标志O(OVERFLOW), 若(带符号)运算结果超出可表示范围, 则置1.
JXX 系列指令就是根据这些标志来决定是否要跳转, 从而实现条件分枝. 要注意,很多JXX 指令是等价的, 对应相同的机器码. 例如, JE 和JZ 是一样的,都是当Z=1是跳转. 只有JMP 是无条件跳转. JXX 指令分为两组, 分别用于无符号操作和带符号操作. JXX 后面的"XX" 有如下字母:
无符号操作: 带符号操作:
A = "ABOVE", 表示"高于" G = "GREATER", 表示"大于"
B = "BELOW", 表示"低于" L = "LESS", 表示"小于"
C = "CARRY", 表示"进位"或"借位" O = "OVERFLOW", 表示"溢出"
S = "SIGN", 表示"负"
通用符号:
E = "EQUAL" 表示"等于", 等价于Z (ZERO)
N = "NOT" 表示"非", 即标志没有置位. 如JNZ "如果Z没有置位则跳转"
Z = "ZERO", 与E同.
如果仔细想一想,就会发现 JA = JNBE, JAE = JNB, JBE = JNA, JG = JNLE, JGE= JNL, JL= JNGE, ....
4. 端口
端口是直接和外部设备通讯的地方。外设接入系统后，系统就会把外设的数据接口映射到特定的端口地址空间，这样，从该端口读入数据就是从外设读入数据，而向外设写入数据就是向端口写入数据。当然这一切都必须遵循外设的工作方式。端口的地址空间与内存地址空间无关，系统总共提供对64K个8位端口的访问，编号0-65535. 相邻的8位端口可以组成成一个16位端口，相邻的16位端口可以组成一个32位端口。端口输入输出由指令IN,OUT,INS和OUTS实现，具体可参考汇编语言书籍。
- 作者： saulia 2005年03月15日, 星期二 15:01 回复（0） | 引用（0） 加入博采
轻松使用自己的回调函数
回调函数是一个很有用，也很重要的概念。当发生某种事件时，系统或其他函数将会自动调用你定义的一段函数。回调函数在windows编程使用的场合很多，比如Hook回调函数：MouseProc,GetMsgProc以及EnumWindows,DrawState的回调函数等等，还有很多系统级的回调过程。本文不准备介绍这些函数和过程，而是谈谈实现自己的回调函数的一些经验。
之所以产生使用回调函数这个想法，是因为现在使用VC和Delphi混合编程，用VC写的一个DLL程序进行一些时间比较长的异步工作，工作完成之后，需要通知使用DLL的应用程序：某些事件已经完成,请处理事件的后续部分。开始想过使用同步对象，文件影射，消息等实现DLL函数到应用程序的通知，后来突然想到可不可以在应用程序端先写一个函数，等需要处理后续事宜的时候，在DLL里直接调用这个函数即可。
于是就动手，写了个回调函数的原形。在VC和 Delphi里都进行了测试
一：声明回调函数类型。
vc版
typedef int (WINAPI *PFCALLBACK)(int Param1,int Param2) ;
Delph版
PFCALLBACK = function(Param1:integer;Param2:integer):integer;stdcall;
实际上是声明了一个返回值为int,传入参数为两个int的指向函数的指针。
由于C++和PASCAL编译器对参数入栈和函数返回的处理有可能不一致，把函数类型用WINAPI(WINAPI宏展开就是__stdcall)或stdcall统一修饰。
二：声明回调函数原形
声明函数原形
vc版
int WINAPI CBFunc(int Param1,int Param2)；
Delphi版
function CBFunc(Param1,Param2:integer):integer;stdcall;
以上函数为全局函数，如果要使用一个类里的函数作为回调函数原形，把该类函数声明为静态函数即可。
三： 回调函数调用调用者
调用回调函数的函数我把它放到了DLL里，这是一个很简单的VC生成的WIN32 DLL.并使用DEF文件输出其函数名 TestCallBack。实现如下：
PFCALLBACK gCallBack=0;
void WINAPI TestCallBack(PFCALLBACK Func)
{
if(Func==NULL)return;
gCallBack=Func;
DWORD ThreadID=0;
HANDLE hThread = CreateThread( NULL,NULL,Thread1,LPVOID(0), &ThreadID);
return;
}
此函数的工作把传入的 PFCALLBACK Func参数保存起来等待使用，并且启动一个线程。声明了一个函数指针PFCALLBACK gCallBack保存传入的函数地址。
四： 回调函数如何被使用：
TestCallBack函数被调用后，启动了一个线程，作为演示，线程人为的进行了延时处理，并且把线程运行的过程打印在屏幕上.
本段线程的代码也在DLL工程里实现
ULONG WINAPI Thread1(LPVOID Param)
{
TCHAR Buffer[256];
HDC hDC = GetDC(HWND_DESKTOP);
int Step=1;
MSG Msg;
DWORD StartTick;
//一个延时循环
for(;Step<200;Step++)
{
StartTick = GetTickCount();
/*这一段为线程交出部分运行时间以让系统处理其他事务*/
for(;GetTickCount()-StartTick<10;)
{
if(PeekMessage(&Msg,NULL,0,0,PM_NOREMOVE) )
{
TranslateMessage(&Msg);
DispatchMessage(&Msg);
}
}
/*把运行情况打印到桌面，这是vcbear调试程序时最喜欢干的事情*/
sprintf(Buffer,"Running %04d",Step);
if(hDC!=NULL)
TextOut(hDC,30,50,Buffer,strlen(Buffer));
}
/*延时一段时间后调用回调函数*/
(*gCallback)(Step,1);
/*结束*/
::ReleaseDC (HWND_DESKTOP,hDC);
return 0;
}
五：万事具备
使用vc和Delphi各建立了一个工程，编写回调函数的实现部分
VC版
int WINAPI CBFunc(int Param1,int Param2)
{
int res= Param1+Param2;
TCHAR Buffer[256]="";
sprintf(Buffer,"callback result = %d",res);
MessageBox(NULL,Buffer,"Testing",MB_OK); //演示回调函数被调用
return res;
}
Delphi版
function CBFunc(Param1,Param2:integer):integer;
begin
result:= Param1+Param2;
TForm1.Edit1.Text:=inttostr(result); / /演示回调函数被调用
end;
使用静态连接的方法连接DLL里的出口函数 TestCallBack,在工程里添加 Button( 对于Delphi的工程，还需要在Form1上放一个Edit控件，默认名为Edit1)。
响应ButtonClick事件调用 TestCallBack
TestCallBack(CBFunc) //函数的参数CBFunc为回调函数的地址
函数调用创建线程后立刻返回，应用程序可以同时干别的事情去了。现在可以看到屏幕上不停的显示字符串，表示dll里创建的线程运行正常。一会之后，线程延时部分结束结束，vc的应用程序弹出MessageBox,表示回调函数被调用并显示根据Param1，Param2运算的结果，Delphi的程序edit控件里的文本则被改写成Param1，Param2 的运算结果。
可见使用回调函数的编程模式，可以根据不同的需求传递不同的回调函数地址，或者定义各种回调函数的原形（同时也需要改变使用回调函数的参数和返回值约定），实现多种回调事件处理，可以使程序的控制灵活多变，也是一种高效率的，清晰的程序模块之间的耦合方式。在一些异步或复杂的程序系统里尤其有用 -- 你可以在一个模块（如DLL）里专心实现模块核心的业务流程和技术功能，外围的扩展的功能只给出一个回调函数的接口，通过调用其他模块传递过来的回调函数地址的方式，将后续处理无缝地交给另一个模块，随它按自定义的方式处理。
本文的例子使用了在DLL里的多线程延时后调用回调函数的方式，只是为了突出一下回调函数的效果，其实只要是在本进程之内，都可以随你高兴可以把函数地址传递来传递去，当成回调函数使用。
这样的编程模式原理非常简单单一：就是把函数也看成一个指针一个地址来调用，没有什么别的复杂的东西，仅仅是编程里的一个小技巧。至于回调函数模式究竟能为你带来多少好处，就看你是否使用，如何使用这种编程模式了。
- 作者： saulia 2005年03月15日, 星期二 14:19 回复（0） | 引用（0） 加入博采
Windows中断编程
一、前 言
Windows提供强大的功能以及友好的图形用户界面(GUI)，使得它不仅广泛的用作管理事务型工作的支持平台，也被工业领域的工程人员所关注。但Windows3．1并非基于优先级来调度任务，无法立即响应外部事件中断，也就不能满足工业应用环境中实时事件处理和实时控制应用的要求。因此，如何在Windows环境中处理外部实时事件一直是技术人员尤其是实时领域工程人员所关注的问题。目前已有的方法大都采用内挂实时多任务内核的方式，如windows的实时控制软件包FLX等，而iRMX实时操作系统则把Windows3．1当作它的一个任务来运行。对于大型的工程项目，开发人员可采用购买实时软件然后集成方式。对中小项目，从投资上考虑就不很经济。如何寻找一种简明的方法来处理外部实时事件依然显得很必要。
本文首先阐述windows的消息机制及中断机制，然后结合DPMI接口，给出一种保护模式下中断程序的设计方法，以处理外部实时事件。经实际运行结果表明，该方法具有简洁、实用、可靠的特点，并同样可运行于Win95。
二、Windows的消息机制
Windows是一消息驱动式系统，。 Windows消息提供了应用程序与应用程序之间、应用程序与Windows系统之间进行通讯的于段。应用程序要实现的功能由消息来触发，并靠对消息的响应和处理来完成。
Windows系统中有两种消息队列，一种是系统消息队列，另一种是应用程序消息队列。计算机的所有输入设备由 Windows监控，当一个事件发生时，windows先将输入的消息放入系统消息队列中，然后再将输入的消息拷贝到相应的应用程序队列中"应用程序中的消息循环从它的消息队列中检索每一个消息并发送给相应的窗口函数中。一个事件的发生，到达处理它的窗口函数必须经历上述过程。值得注意的是消息的非抢先性，即不论事件的急与缓，总是按到达的先后排队(一些系统消息除外)，这就使得一些外部实时事件可能得不到及时的处理。
三、windows的保护模式及中断机制
1．Windows的保护模式
保护模式指的是线性地址由一个选择符间接生成的，该选择符指向描述表中的某一项；而实模式中则通过一个段／偏移量对来直接寻址。80386(486) CPU提仪的保护模式能力包括一个64K的虚拟地址空间和一个4G的段尺寸。Windows3．1实现时有所差别，它支持标准模式和增强模式。标准模式针对286机器，不周本文探讨范围。增强模式是对386以上CPU而言，windows正是使用保护模式来打破lM的屏障并且执行简单的内存保护。它使用选择器、描述器和描述器表控制访问指定内存的位置和段。描述器表包括全局描述器表局部描述器表、中断描述器表。保护模式与实模式有许多不同。其中显著的差异是访问内存的机制不同。
2．中断机制
(1)实模式中断
为了便于理解，我们先回顾实模式中断。
在实模式下，中断向量表IVT起到相当重要的作用。无论来自外部硬件的中断或是内部的软中断INTn，在CPU中都产生同样的响应。
①CPU将当前的指令指针寄存器(IP)、代码段寄存器(CS)、标志寄存器压入堆栈。
②然后CPU使用 n值作为指向中断向量表IVT的索引，在IVT中找出服务例程的远地址。
②CPU将此远地垃装入CS：IP寄存器中，并开始执行服务例程。
④中断例程总以IRET指令结束。此指令使存在堆栈中的三个值弹出并填入CS、IP和标志寄存器，CPU继续执行原来的指令。
(2)保护模式中断
保护模式中断过程与实模式中断过程类似，但它不再使用中断向量表IVT，而使用中断描述符表(IDT)。值得一提的是，Windows运行时IVT还存在，应用程序并不使用它，Windows仍然使用，但含义已不同‘
（1）IVT结构：IVT在RAM的 0000：0000之上，占据开始的1024字节。它仍然由 BIOS启动例程设置，由DOS填充到RAM中。
②IDT中断描述符表：保护模式下，Windows操作系统为实现中断机制而建立的一个特殊表，即中断描述符表IDT。该表被用来保存中断服务例程的线性地址，它们是真正的24位或32位地址，没有段：偏移值结构。中断描述器表最多可含有256个例
程说明，详细说明请见[3]。 IDT结构见图2。
②当中断或异常发生时，处理过程与实模式类丁当前的CS； IP值和标志寄存器值被存储。保存的内容还包括CPU其他内部寄存器的值，以及目
前正在被执行的任务的有关信息(若必须发生任务切换的话)。CPU设法获取中断向量后，以它为索引值查找IDT中的服务例程远地址，接着将控制转移到该处的服务例程。这是与实模式转移到IVT的不同所在。保护模式使用IDTR寄存器分配和定位内存中的IDT中断描述符表。IDT在内存中是可移动的，与IVT固定在内存中刚好相反。 IDT中断描述符表在 Windows中起决定性的作用。理解了windows保护模式的中断机制。有助于我们理解中断服务程序的设计，它的关键就在于如何将服务例程的地址放入IDT中断描述符表中。当中断发生时，如何将断点地址及CPU各寄存器值保护起来，中断结束时，如何将保护的值恢复。 windows系统本身并不提供实现上述功能的API，而DOS保护模式接口DPMI正具备了上述的功能。
下面我们首先介绍DPMI接口，然后基于它实现Windows下中断服务程序的设计。
四、DOS保护模式接口 DMPI Windows除了标准服务外，还支持一组特殊的DOS服务，称为DOS保护模式接口 DPMI，由一些INT2FH和INT31H服务组成。它使应用程序能够访问 PC系列计算机的扩充内存，同时维护系统的保护功能。 DPMI通过软件中断31h来定义了一个新的接口，使得保护模式的应用程序能够用它作分配内存，修改描述符以及调用实模式软件等工作。
Windows为应用程序提供 DPMI服务。即Windows是DPMI的宿主(host)，应用程序是DPMI的客户(client)，可通过INT31H调用得到DPMI服务。INT 31H本身提供多功能。其中它的中断管理服务允许保护模式用于拦截实模式中断，并且挂住处理器异常。有些服务能够和 DPMI宿主合作，以维护应用程序的虚拟中断标志。
可以用INT31H来挂住保护模式中断向量，以中断方式处理外部实时事件。利用 INT 21H，功能0205H：设置保护模式中断向量，将特定中断的保护模式处理程序的地址置入中断向量里。调用方式：
AX＝0205H，BL＝中断号，CX：(E)DX＝中断处理程序选择符：偏移值。返回：执行成功CF＝清零，执行失败CF，置位。
挂住／解挂中断向量的时机很重要。主窗口第一次被创建时会传送它WM—CREATE消息，这时是挂住中断向量的最好时机。退出时需解挂向量，否则Windows可能崩溃。上窗口接收到WM_DESTROY之后进行解挂工作,是最适合的。解挂向量可先用INT35H，0204H功能将老的中断向量保存，退出时用INT35H，0205H恢复。
五、编程实现
有了DPMI的支持，我们就可以很方便地处理数据采集、串行通信等工业过程中的实时事件。下面以Windows3．1平台下中断方式实现的串行通信为例，说明中断程序的编制和实现。为便于参考，给出了详细的代码。开发平台BC3．1／BC4．5，其本身支持0．9版的DPMI，无需运行其它支持DPMI的软件。编程语言C，可与C＋＋混合编译。
初始化COM1，9600波特率，每字符8bits，1个停止位，中断接收，查询发送。
//windows asy COmmunica60n
//by Li Xiumi98
//last modified on June25，1996
#include
#include
void interrupt far DataReceive() ;
void interrupt far( * old_vector)();
unsigned char dataCom_r[1024]，datacom_s[1024]：
int inflag=0 ;
unsigned int s8259;
int InitCom1()
{
s8259=inportb(0x21);
outportb(0x21,s8259&0xe8);
outportb(0x3fb,0x83);
outportb(0x3f8,0x0c);
outportb(0x3f9,0x00);
outportb(0x3fb,0x03);
outportb(0x3fc,0x08);
outportb(0x3f9,0x01);
return 1;
}
void interrupt far DataReceive()
{
static int i=0 ;
char rechar =0 ;
rechar=inportb(0x3f8);
if(inflag==0)
{
if(rechar!='s'&&i==0)
{
i=0;
goto l1;
}
datacom_r[i++]=rechar;
if(rechar=='e')
{
inflag=1;
i=0;
}
}
l1:outportb(0x20,0x20);
}
void InitCom(void)
{
asm{
cli;
mov ax,204h
mov bl,0ch
int 31h
sti
}
old_vector=MK_FP(_CX,_DX);
asm{
cli
mov ax,205h
mov bl,0ch
mov cx,seg datareceive
mov dx,offset datareceive
int 31h
sti
}
InitCom();
}
void restore_Comm(void)
{
outportb(0x21,s8259);
asm{
cli
mov ax,205h
mov bl,0ch
mov cx,seg old_vector
mov dx,offset old_vector
int 31h
sti
}
}
在窗口第一次被创建时会传送它WM_CREATE消息,这时调用initCom()即可。在主窗口关闭时，即主窗口中收到 WM_DESTROY消息时，调用Restore Comm()恢复原来的状态。
这样在对串口初始化，设置中断服务例程后，通信事件发生时，会立即跳入中断子程序中执行，越过系统的消息队列，达到实时处理通信事件的目的。而数据处理模块可通过全局标志f1，8访问全局的数据通信缓冲区获取实时数据。这种实现方式与基于消息机制的Windows通信API实现相比具有实时性强的的特点，因为它超过了Windows 系统的两极消息机制，上述程序已在实际系统中得到应用。在windows3.1支持下同时运行
三个Windows任务，服务器SERVER（内有实时串行通信，多个网络数据子服务，），客户CLIENT,FOXPRO数据库系统。整个系统运行良好。切换到WIN95平台下，系统也运行良好 。
- 作者： saulia 2005年03月15日, 星期二 14:15 回复（0） | 引用（0） 加入博采
WINDOWS键盘事件的挂钩监控原理及其应用技术
WINDOWS的消息处理机制为了能在应用程序中监控系统的各种事件消息，提供了挂接 各种反调函数(HOOK)的功能。这种挂钩函数(HOOK)类似扩充中断驱动程序，挂钩上 可以挂接多个反调函数构成一个挂接函数链。系统产生的各种消息首先被送到各种 挂接函数，挂接函数根据各自的功能对消息进行监视、修改和控制等，然后交还控 制权或将消息传递给下一个挂接函数以致最终达到窗口函数。WINDOW系统的这种反 调函数挂接方法虽然会略加影响到系统的运行效率，但在很多场合下是非常有用 的，通过合理有效地利用键盘事件的挂钩函数监控机制可以达到预想不到的良好效 果。
一、在WINDOWS键盘事件上挂接监控函数的方法
WINDOW下可进行挂接的过滤函数包括11种：
WH_CALLWNDPROC 窗口函数的过滤函数
WH_CBT 计算机培训过滤函数
WH_DEBUG 调试过滤函数
WH_GETMESSAGE 获取消息过滤函数
WH_HARDWARE 硬件消息过滤函数
WH_JOURNALPLAYBACK 消息重放过滤函数
WH_JOURNALRECORD 消息记录过滤函数
WH_MOUSE 鼠标过滤函数
WH_MSGFILTER 消息过滤函数
WH_SYSMSGFILTER 系统消息过滤函数
WH_KEYBOARD 键盘过滤函数
其中键盘过滤函数是最常用最有用的过滤函数类型，不管是哪一种类型的过滤函 数，其挂接的基本方法都是相同的。 WINDOW调用挂接的反调函数时总是先调用挂接链首的那个函数，因此必须将键盘挂 钩函数利用函数SetWindowsHookEx()将其挂接在函数链首。至于消息是否传递给函 数链的下一个函数是由每个具体函数功能确定的，如果消息需要传统给下一个函 数，可调用API函数的CallNextHookEx()来实现，如果不传递直接返回即可。 挂接函数可以是用来监控所有线程消息的全局性函数，也可以是单独监控某一线程 的局部性函数。如果挂接函数是局部函数，可以将它放到一个.DLL动态链接库中， 也可以放在一个局部模块中；如果挂接函数是全局的，那么必须将其放在一个.DLL 动态链接库中。挂接函数必须严格按照下述格式进行声明，以键盘挂钩函数为例：
int FAR PASCAL KeyboardProc( int nCode,WORD wParam,DWORD lParam) 其中KeyboardProc为定义挂接函数名，该函数必须在模块定义文件中利用EXPORTS命 令进行说明；nCode决定挂接函数是否对当前消息进行处理；wParam和lParam为具体 的消息内容。
二、键盘事件挂接函数的安装与下载 在程序中可以利用函数SetWindowsHookEx()来挂接过滤函数，在挂接函数时必须指 出该挂接函数的类型、函数的入口地址以及函数是全局性的还是局部性的，挂接函 数的具体调用格式如下：
SetWindowsHookEx(iType,iProc,hInst,iCode) 其中iType为挂接函数类型，键盘类型为WH_KEYBOARD,iProc为挂接函数地址，hInst 为挂接函数链接库实例句柄，iCode为监控代码－0表示全局性函数。 如果挂接函数需要将消息传递给下一个过滤函数，则在该挂接函数返回前还需要调 用一次CallNextHookEx()函数，当需要下载挂接函数时，只要调用一次 UnhookWindowsHookEx(iProc)函数即可实现。 如果函数是全局性的，那么它必须放在一个.DLL动态链接库中，这时该函数调用方 法可以和其它普通.DLL函数一样有三种：
1.在DEF定义文件中直接用函数名或序号说明： EXPORTS WEP @1 RESIDENTNAME InitHooksDll @2 InstallFilter @3 KeyboardProc @4 用序号说明格式为：链接库名.函数名(如本例中说明方法为KEYDLL.KeyboardProc)。
2.在应用程序中利用函数直接调用： 首先在应用程序中利用LoadLibrary(LPSTR "链接库名")将动态链接库装入，并取得 装载库模块句柄hInst,然后直接利用GetProcAddress(HINSTANCE hInst,LPSTR "函 数过程名")获取函数地址，然后直接调用该地址即可，程序结束前利用函数 FreeLibrary( )释放装入的动态链接库即可。
3.利用输入库.LIB方法 利用IMPLIB.EXE程序在建立动态链接库的同时建立相应的输入库.LIB，然后直接在 项目文件中增加该输入库。
三、WINDOWS挂钩监控函数的实现步骤 WINDOWS挂钩函数只有放在动态链接库DLL中才能实现所有事件的监控功能。在.DLL 中形成挂钩监控函数基本方法及其基本结构如下：
１、首先声明DLL中的变量和过程；
２、然后编制DLL主模块LibMain()，建立模块实例；
３、建立系统退出DLL机制WEP()函数；
４、完成DLL初始化函数InitHooksDll(),传递主窗口程序句柄；
５、编制挂钩安装和下载函数InstallFilter()；
６、编制挂钩函数KeyboardProc()，在其中设置监控功能，并确定继续调下一个钩 子函数还是直接返回WINDOWS应用程序。
７、在WINDOWS主程序中需要初始化DLL并安装相应挂钩函数，由挂接的钩子函数负 责与主程序通信；
８、在不需要监控时由下载功能卸掉挂接函数。
四、WINDOWS下键盘挂钩监控函数的应用技术 目前标准的104 键盘上都有两个特殊的按键，其上分别用WINDOW程序徽标和鼠标下 拉列表标识，本文暂且分别称为Micro左键和Micro右键，前者用来模拟鼠标左键激 活开始菜单，后者用来模拟鼠标右键激活属性菜单。这两个特殊按键只有在按下后 立即抬起即完成 CLICK过程才能实现其功能，并且没有和其它按键进行组合使用。 由于WINDOWS 系统中将按键划分得更加详细，使应用程序中很难灵活定义自己的专 用快捷键，比如在开发.IME等应用程序时很难找到不与WORD8.0等其它应用程序冲突 的功能按键。如果将标准104键盘中的这两个特殊按键作为模拟CTRL和ALT 等专用按 键，使其和其它按键组合，就可以在自己的应用程序中自由地设置专用功能键，为 应用程序实现各种功能快捷键提供灵活性。正常情况下WINDOWS 键盘事件驱动程序 并不将这两个按键的消息进行正常解释，这就必须利用键盘事件的挂钩监控函数来 实现其特定的功能。其方法如下：
１、首先编制如下一个简单动态链接库程序，并编译成DLL文件。 #include "windows.h"
int FAR PASCAL LibMain(HANDLE hModule,UINT wDataSeg, UINT cbHeapSize,LPSTR lpszCmdLine);
int WINAPI WEP(int bSystemExit);
int WINAPI InitHooksDll(HWND hwndMainWindow);
int WINAPI InstallFilter(BOOL nCode);
LRESULT CALLBACK KeyHook(int nCode,WORD wParam,DWORD lParam);
static HANDLE hInstance; // 全局句柄
static HWND hWndMain; // 主窗口句柄
static int InitCalled=0; // 初始化标志
static HHOOK hKeyHook;
FARPROC lpfnKeyHook=(FARPROC)KeyHook;
BOOL HookStates=FALSE;
int FAR PASCAL LibMain( HANDLE hModule, UINT wDataSeg, UINT cbHeapSize, LPSTR lpszCmdLine)
{
if (cbHeapSize!=0)
UnlockData(0);
hInstance = hModule;
return 1;
}
int WINAPI WEP (int bSystemExit)
{ return 1;}
int WINAPI InitHooksDll(HWND hwndMainWindow)
{
hWndMain = hwndMainWindow;
InitCalled = 1;
return (0);
}
int WINAPI InstallFilter(BOOL nCode)
{ if (InitCalled==0)
return (-1);
if (nCode==TRUE)
{
hKeyHook=SetWindowsHookEx(WH_KEYBOARD, (HOOKPROC)lpfnKeyHook,hInstance,0);
HookStates=TRUE;
}
else
{
UnhookWindowsHookEx(hKeyHook);
HookStates=FALSE;
}
return(0);
}
LRESULT CALLBACK KeyHook(int nCode,WORD wParam,DWORD lParam)
{
static BOOL msflag=FALSE;
if(nCode>=0)
{
if(HookStates==TRUE)
{
if((wParam==0xff)|| //WIN3.X下按键值
(wParam==0x5b)||(wParam==0x5c)){//WIN95下按键值
if((i==0x15b)||(i==0x15c)){ //按键按下处理
msflag=TRUE;
PostMessage(hWndMain,0x7fff,0x1,0x3L);
}
else if((i==0xc15b)||(i==0xc15c)){//按键抬起处理 msflag=FALSE;
PostMessage(hWndMain,0x7fff,0x2,0x3L);
}
}
}
}
return((int)CallNextHookEx
(hKeyHook,nCode,wParam,lParam));
}
该程序的主要功能是监控键盘按键消息，将两个特殊按键Micro按下和抬起消息转换 成自定义类型的消息，并将自定义消息发送给应用程序主窗口函数。
２、在应用程序主函数中建立窗口后，调用InitHooksDll()函数来初始化动态链接 库，并将应用程序主窗口句柄传递给链接库，然后调用InstallFilter()函数挂接键 盘事件监控回调函数。
InitHooksDll(hIMEWnd); //初始化DLL
InstallFilter(TRUE); //安装键盘回调函数
３、在应用程序主窗口函数处理自定义消息时，保存Micro按键的状态，供组合按键 处理时判断使用。
switch (iMessage)
{
case 0x7fff: //自定义消息类型
if(lParam==0x3L)
{//设置Micro键的状态
if(wParam==0x1)
MicroFlag=TRUE;
else if(wParam==0x2)
MicroFlag=FALSE;
}
break;
４、在进行按键组合处理时，首先判断Micro键是否按下，然后再进行其它按键的判 断处理。
case WM_KEYDOWN: // 按键按下处理
if(MicroFlag==TRUE)
{
//Micro键按下
if((BYTE)HIBYTE(wParam)==0x5b)
{
//Micro+"["组合键 ......//按键功能处理 }
else if((BYTE)HIBYTE(wParam)==0x5d)
{
//Micro+"]"组合键 ......//按键功能处理 } } break;
５、当应用程序退出时应注意下载键盘监控函数，即调用InstallFilter(FALSE)函 数一次。
６、利用本文提供的方法设置自己的应用程序功能按键，在保证程序功能按键不会 与其它系统发生冲突的同时，有效地利用了系统中现有资源，而且在实现应用程序 功能的同时灵活应用了系统中提供的各种功能调用。
- 作者： saulia 2005年03月15日, 星期二 14:12 回复（0） | 引用（0） 加入博采
Windows下DLL编程技术及应用
本文介绍了DLL技术在Windows编程中的基本运用方法及应用，给出了直接内存访问及端口I/O的两个实用DLL的全部源代码。
关键词: DLL Windows编程 内存访问 I/O
一 、引 言
由于Windows为微机提供了前所未有的标准用户界面、图形处理能力和简单灵便的操作，绝大多数程序编制人员都已转向或正在转向Windows编程。在许多用户设计的实际应用系统的编程任务中，常常要实现软件对硬件资源和内存资源的访问，例如端口I/O、DMA、中断、直接内存访问等等。若是编制DOS程序，这是轻而易举的事情，但要是编制Windows程序，尤其是WindowsNT环境下的程序，就会显得较困难。
因为Windows具有"与设备无关"的特性，不提倡与机器底层的东西打交道，如果直接用Windows的API函数或I/O读写指令进行访问和操作，程序运行时往往就会产生保护模式错误甚至死机，更严重的情况会导致系统崩溃。那么在Windows下怎样方便地解决上述问题呢？用DLL(Dynamic Link Libraries)技术就是良好途径之一。
DLL是Windows最重要的组成要素，Windows中的许多新功能、新特性都是通过DLL来实现的，因此掌握它、应用它是非常重要的。其实Windows本身就是由许多的DLL组成的，它最基本的三大组成模块Kernel、GDI和User都是DLL，它所有的库模块也都设计成DLL。凡是以.DLL、.DRV、.FON、.SYS和许多以.EXE为扩展名的系统文件都是DLL，要是打开Windows/System目录，就可以看到许多的DLL模块。尽管DLL在Ring3优先级下运行，仍是实现硬件接口的简便途径。DLL可以有自己的数据段，但没有自己的堆栈，使用与调用它的应用程序相同的堆栈模式，减少了编程设计上的不便；同时，一个DLL在内存中只有一个实例，使之能高效经济地使用内存；DLL实现的代码封装性，使得程序简洁明晰；此外还有一个最大的特点，即DLL的编制与具体的编程语言及编译器无关，只要遵守DLL的开发规范和编程策略，并安排正确的调用接口，不管用何种编程语言编制的DLL都具有通用性。例如在BC31中编制的DLL程序，可用于BC、VC、VB、Delphi等多种语言环境中。笔者在BC31环境下编译了Windows下直接内存访问和端口I/O两个DLL，用在多个自制系统的应用软件中，运行良好。
二、DLL的建立和调用
DLL的建立及调用方法在许多资料上有详细的介绍，为了节省篇幅，在这里仅作一些主要的概括。
1.DLL的建立
关于DLL的建立，有如下几个方面的要素是不可缺少和必须掌握的：
入口函数LibMain( )
就象C程序中的WinMain( )一样，Windows每次加载DLL时都要执行LibMain( )函数，主要用来进行一些初始化工作。通常的形式是：
int FAR PASCAL LibMain(HINSTANCE hInstance,WORD wDataSeg,WORD wHeapSize,LPSTR lpszCmdLine)
{
if(wHeapSize!=0) //使局部堆、数据段可移动
UnlockData(0);
//解锁数据段
/*此处可进行一些用户必要的初始化工作*/
return 1; //初始化成功
}
出口函数WEP( )
Windows从内存中卸载DLL时，调用相应的出口函数WEP( )，主要做一些清理工作，如释放占用的内存资源；丢弃某些字串、位图等资源；关闭打开的文件等等。
自定义的输出函数
为了让位于不同内存段的应用程序进行远程调用，自定义的输出函数必须定义为远程函数(使用FAR关键字)，以防使用近程指针而得到意外的结果；同时，加上PASCAL关键字可加快程序的运行速度，使代码简单高效，提高程序的运行速度。
输出函数的引出方法
在DLL的模块定义文件中(.DEF)由EXPORTS语句对输出函数逐一列出。例如：
EXPORTS WEP @1 residentname
//residentname可提高DLL效率和处理速度
PortIn @2
PortOut @3 //通常对所有输出函数附加系列号
在每个输出函数定义的说明中使用_export关键字来对其引出。
以上两种方法任选其中的一种即可，不可重复。后面的两个实例分别使用了上述两种不同的引出方式，请留意。
2.DLL的调用
加载DLL时，Windows寻找相应DLL的次序如下：
.当前工作盘。
Windows目录；GetWindowsDirectory( )函数可提供该目录的路径名。
Windows系统目录，即System子目录；调用GetSystemDiretory( )函数可获得这个目录的路径名。
DOS的PATH命令中罗列的所有目录。
网络中映象的目录列表中的全部目录。
DLL模块中输出函数的调用方法：
不论使用何种语言对编译好的DLL进行调用时，基本上都有两种调用方式，即静态调用方式和动态调用方式。静态调用方式由编译系统完成对DLL的加载和应用程序结束时DLL卸载的编码（如还有其它程序使用该DLL，则Windows对DLL的应用记录减1，直到所有相关程序都结束对该DLL的使用时才释放它），简单实用，但不够灵活，只能满足一般要求。动态调用方式是由编程者用API函数加载和卸载DLL来达到调用DLL的目的，使用上较复杂，但能更加有效地使用内存，是编制大型应用程序时的重要方式。具体来说，可用如下的方法调用.在应用程序模块定义文件中，用IMPORTS语句列出所要调用DLL的函数名。如：
IMPORTS
MEMORYDLL.MemoryRead
MEMORYDLL.MemoryWrite
让应用程序运行时与DLL模块动态链接
先用LoadLibrary加载DLL，再用GetProcAddress函数检取其输出函数的地址，获得其指针来调用。如：
HANDLE hLibrary;
FARPROC lpFunc;
int PortValue;
hLibrary=LoadLibrary("PORTDLL.DLL");
//加载DLL
if(hLibrary>31) //加载成功
{
lpFunc=GetProcAddress(hLibrary,"PortIn");
//检取PortIn函数地址
if(lpFunc!=(FARPROC)NULL)
//检取成功则调用
PortValue=(*lpFunc)(port); //读port端口的值
FreeLibrary(hLibrary);
//释放占用的内存
}
三、DLL应用实例源程序
1.直接内存访问的DLL源代码
//.DEF文件
LIBRARY
MEMORYDLL
DESCRIPTION 'DLL FOR MEMORY_READ_WRITE '
EXETYPE WINDOWS
CODE
PRELOAD MOVEABLE DISCARDABLE
DATA PRELOAD MOVEABLE SINGLE
HEAPSIZE 1024
//DLL无自己的堆栈，故没有STACKSIZE语句
EXPORTS WEP @1 residentname
ReadMemory
@2
WriteMemory @3
//.CPP文件
#include
int FAR PASCAL LibMain(HINSTANCE hInstance,WORD wDataSeg,WORD wHeapSize,LPSTR lpszCmdLine)
{
if(wHeapSize!=0)
UnlockData(0);
return
1;
}
int FAR PASCAL MemoryRead(unsigned int DosSeg,unsigned int DosOffset)
{
WORD wDataSelector,wSelector;
char far *pData;
char value;
wDataSelector=HIWORD((DWORD)(WORD FAR *)&wDataSelector);
wSelector=AllocSelector(wDataSelector);
//分配选择器
SetSelectorLimit(wSelector,0x2000);
//置存取界限
SetSelectorBase(wSelector,(((DWORD)DosSeg)<<4)+(DWORD)DosOffset);
//置基地址
pData=(char far *)((DWORD)wSelector<<16);
value=*pData;
FreeSelector(wSelector);
//释放选择器
return (value);
}
void FAR PASCAL MemoryWrite(unsigned int DosSeg,unsigned int DosOffset,char Data)
{
WORD wDataSelector,wSelector;
char far *pData;
wDataSelector=HIWORD((DWORD)(WORD FAR *)&wDataSelector);
wSelector=AllocSelector(wDataSelector);
SetSelectorLimit(wSelector,0x2000);
SetSelectorBase(wSelector,(((DWORD)DosSeg)<<4)+(DWORD)DosOffset);
pData=(char far *)((DWORD)wSelector<<16);
*pData=Data;
FreeSelector(wSelector);
}
int FAR PASCAL WEP(int nParam)
{
return 1;
}
2.端口读写I/O的DLL源代码
//.DEF文件
LIBRARY PORTDLL
DESCRIPTION 'DLL FOR
PORT_IN_OUT '
EXETYPE WINDOWS
CODE PRELOAD MOVEABLE DISCARDABLE
DATA
PRELOAD MOVEABLE SINGLE
HEAPSIZE 1024
//.CPP文件
#include
#include
int FAR PASCAL
LibMain(HINSTANCE hInstance,WORD wDataSeg,WORD wHeapSize,LPSTR lpszCmdLine)
{
if(wHeapSize!=0)
UnlockData(0);
return
1;
}
int FAR PASCAL _export PortOut(int port,unsigned char value)
{
outp(port,value);
return 1;
}
int FAR PASCAL _export PortIn(int port)
{
int result;
result=inp(port);
return (result);
}
int FAR PASCAL _export WEP(int nParam)
{
return 1;
}
分别将上面两个实例的.DEF文件和.CPP文件各自组成一个.PRJ文件,并进行编译链接成.EXE或.DLL文件就可以在应用程序中对其进行调用。
四、结束语
在上面，我们利用DLL技术方便地实现了Windows环境下对内存的直接访问和端口I/O的访问，仿效这两个例子，还可以编制出更多的适合自己应用系统所需的DLL，如用于数据采集卡的端口操作及扩展内存区访问、视频区缓冲区及BIOS数据区操作等许多实际应用的编程任务中。必要时只需直接更新DLL，而用不着对应用程序本身作任何改动就可以对应用程序的功能和用户接口作较大的改善，实现版本升级。因此，掌握好DLL技术对Windows程序开发者很有裨益。
- 作者： saulia 2005年03月15日, 星期二 14:00 回复（0） | 引用（0） 加入博采
Window 消息大全使用详解
消息，就是指Windows发出的一个通知，告诉应用程序某个事情发生了。例如，单击鼠标、改变窗口尺寸、按下键盘上的一个键都会使Windows发送一个消息给应用程序。消息本身是作为一个记录传递给应用程序的，这个记录中包含了消息的类型以及其他信息。例如，对于单击鼠标所产生的消息来说，这个记录中包含了单击鼠标时的坐标。这个记录类型叫做TMsg，
它在Windows单元中是这样声明的：
type
TMsg = packed record
hwnd: HWND; / /窗口句柄
message: UINT; / /消息常量标识符
wParam: WPARAM ; // 32位消息的特定附加信息
lParam: LPARAM ; // 32位消息的特定附加信息
time: DWORD; / /消息创建时的时间
pt: TPoint; / /消息创建时的鼠标位置
end;
消息中有什么？
是否觉得一个消息记录中的信息像希腊语一样？如果是这样，那么看一看下面的解释：
hwnd 32位的窗口句柄。窗口可以是任何类型的屏幕对象，因为Win32能够维护大多数可视对象的句柄(窗口、对话框、按钮、编辑框等)。
message 用于区别其他消息的常量值，这些常量可以是Windows单元中预定义的常量，也可以是自定义的常量。
wParam 通常是一个与消息有关的常量值，也可能是窗口或控件的句柄。
lParam 通常是一个指向内存中数据的指针。由于W P a r a m、l P a r a m和P o i n t e r都是3 2位的，
因此，它们之间可以相互转换。
WM_NULL = $0000;
WM_CREATE = $0001;
应用程序创建一个窗口
WM_DESTROY = $0002;
一个窗口被销毁
WM_MOVE = $0003;
移动一个窗口
WM_SIZE = $0005;
改变一个窗口的大小
WM_ACTIVATE = $0006;
一个窗口被激活或失去激活状态；
WM_SETFOCUS = $0007;
获得焦点后
WM_KILLFOCUS = $0008;
失去焦点
WM_ENABLE = $000A;
改变enable状态
WM_SETREDRAW = $000B;
设置窗口是否能重画
WM_SETTEXT = $000C;
应用程序发送此消息来设置一个窗口的文本
WM_GETTEXT = $000D;
应用程序发送此消息来复制对应窗口的文本到缓冲区
WM_GETTEXTLENGTH = $000E;
得到与一个窗口有关的文本的长度（不包含空字符）
WM_PAINT = $000F;
要求一个窗口重画自己
WM_CLOSE = $0010;
当一个窗口或应用程序要关闭时发送一个信号
WM_QUERYENDSESSION = $0011;
当用户选择结束对话框或程序自己调用ExitWindows函数
WM_QUIT = $0012;
用来结束程序运行或当程序调用postquitmessage函数
WM_QUERYOPEN = $0013;
当用户窗口恢复以前的大小位置时，把此消息发送给某个图标
WM_ERASEBKGND = $0014;
当窗口背景必须被擦除时（例在窗口改变大小时）
WM_SYSCOLORCHANGE = $0015;
当系统颜色改变时，发送此消息给所有顶级窗口
WM_ENDSESSION = $0016;
当系统进程发出WM_QUERYENDSESSION消息后，此消息发送给应用程序，
通知它对话是否结束
WM_SYSTEMERROR = $0017;
WM_SHOWWINDOW = $0018;
当隐藏或显示窗口是发送此消息给这个窗口
WM_ACTIVATEAPP = $001C;
发此消息给应用程序哪个窗口是激活的，哪个是非激活的；
WM_FONTCHANGE = $001D;
当系统的字体资源库变化时发送此消息给所有顶级窗口
WM_TIMECHANGE = $001E;
当系统的时间变化时发送此消息给所有顶级窗口
WM_CANCELMODE = $001F;
发送此消息来取消某种正在进行的摸态（操作）
WM_SETCURSOR = $0020;
如果鼠标引起光标在某个窗口中移动且鼠标输入没有被捕获时，就发消息给某个窗口
WM_MOUSEACTIVATE = $0021;
当光标在某个非激活的窗口中而用户正按着鼠标的某个键发送此消息给当前窗口
WM_CHILDACTIVATE = $0022;
发送此消息给MDI子窗口当用户点击此窗口的标题栏，或当窗口被激活，移动，改变大小
WM_QUEUESYNC = $0023;
此消息由基于计算机的训练程序发送，通过WH_JOURNALPALYBACK的hook程序
分离出用户输入消息
WM_GETMINMAXINFO = $0024;
此消息发送给窗口当它将要改变大小或位置；
WM_PAINTICON = $0026;
发送给最小化窗口当它图标将要被重画
WM_ICONERASEBKGND = $0027;
此消息发送给某个最小化窗口，仅当它在画图标前它的背景必须被重画
WM_NEXTDLGCTL = $0028;
发送此消息给一个对话框程序去更改焦点位置
WM_SPOOLERSTATUS = $002A;
每当打印管理列队增加或减少一条作业时发出此消息
WM_DRAWITEM = $002B;
当button，combobox，listbox，menu的可视外观改变时发送
此消息给这些空件的所有者
WM_MEASUREITEM = $002C;
当button, combo box, list box, list view control, or menu item 被创建时
发送此消息给控件的所有者
WM_DELETEITEM = $002D;
当the list box 或 combo box 被销毁 或 当 某些项被删除通过LB_DELETESTRING, LB_RESETCONTENT, CB_DELETESTRING, or CB_RESETCONTENT 消息
WM_VKEYTOITEM = $002E;
此消息有一个LBS_WANTKEYBOARDINPUT风格的发出给它的所有者来响应WM_KEYDOWN消息
WM_CHARTOITEM = $002F;
此消息由一个LBS_WANTKEYBOARDINPUT风格的列表框发送给他的所有者来响应WM_CHAR消息
WM_SETFONT = $0030;
当绘制文本时程序发送此消息得到控件要用的颜色
WM_GETFONT = $0031;
应用程序发送此消息得到当前控件绘制文本的字体
WM_SETHOTKEY = $0032;
应用程序发送此消息让一个窗口与一个热键相关连
WM_GETHOTKEY = $0033;
应用程序发送此消息来判断热键与某个窗口是否有关联
WM_QUERYDRAGICON = $0037;
此消息发送给最小化窗口，当此窗口将要被拖放而它的类中没有定义图标，应用程序能返回一个图标或光标的句柄，当用户拖放图标时系统显示这个图标或光标
WM_COMPAREITEM = $0039;
发送此消息来判定combobox或listbox新增加的项的相对位置
WM_GETOBJECT = $003D;
WM_COMPACTING = $0041;
显示内存已经很少了
WM_WINDOWPOSCHANGING = $0046;
发送此消息给那个窗口的大小和位置将要被改变时，来调用setwindowpos函数或其它窗口管理函数
WM_WINDOWPOSCHANGED = $0047;
发送此消息给那个窗口的大小和位置已经被改变时，来调用setwindowpos函数或其它窗口管理函数
WM_POWER = $0048;（适用于16位的windows）
当系统将要进入暂停状态时发送此消息
WM_COPYDATA = $004A;
当一个应用程序传递数据给另一个应用程序时发送此消息
WM_CANCELJOURNAL = $004B;
当某个用户取消程序日志激活状态，提交此消息给程序
WM_NOTIFY = $004E;
当某个控件的某个事件已经发生或这个控件需要得到一些信息时，发送此消息给它的父窗口
WM_INPUTLANGCHANGEREQUEST = $0050;
当用户选择某种输入语言，或输入语言的热键改变
WM_INPUTLANGCHANGE = $0051;
当平台现场已经被改变后发送此消息给受影响的最顶级窗口
WM_TCARD = $0052;
当程序已经初始化windows帮助例程时发送此消息给应用程序
WM_HELP = $0053;
此消息显示用户按下了F1，如果某个菜单是激活的，就发送此消息个此窗口关联的菜单，否则就
发送给有焦点的窗口，如果当前都没有焦点，就把此消息发送给当前激活的窗口
WM_USERCHANGED = $0054;
当用户已经登入或退出后发送此消息给所有的窗口，当用户登入或退出时系统更新用户的具体
设置信息，在用户更新设置时系统马上发送此消息；
WM_NOTIFYFORMAT = $0055;
公用控件，自定义控件和他们的父窗口通过此消息来判断控件是使用ANSI还是UNICODE结构
在WM_NOTIFY消息，使用此控件能使某个控件与它的父控件之间进行相互通信
WM_CONTEXTMENU = $007B;
当用户某个窗口中点击了一下右键就发送此消息给这个窗口
WM_STYLECHANGING = $007C;
当调用SETWINDOWLONG函数将要改变一个或多个 窗口的风格时发送此消息给那个窗口
WM_STYLECHANGED = $007D;
当调用SETWINDOWLONG函数一个或多个 窗口的风格后发送此消息给那个窗口
WM_DISPLAYCHANGE = $007E;
当显示器的分辨率改变后发送此消息给所有的窗口
WM_GETICON = $007F;
此消息发送给某个窗口来返回与某个窗口有关连的大图标或小图标的句柄；
WM_SETICON = $0080;
程序发送此消息让一个新的大图标或小图标与某个窗口关联；
WM_NCCREATE = $0081;
当某个窗口第一次被创建时，此消息在WM_CREATE消息发送前发送；
WM_NCDESTROY = $0082;
此消息通知某个窗口，非客户区正在销毁
WM_NCCALCSIZE = $0083;
当某个窗口的客户区域必须被核算时发送此消息
WM_NCHITTEST = $0084;//移动鼠标，按住或释放鼠标时发生
WM_NCPAINT = $0085;
程序发送此消息给某个窗口当它（窗口）的框架必须被绘制时；
WM_NCACTIVATE = $0086;
此消息发送给某个窗口 仅当它的非客户区需要被改变来显示是激活还是非激活状态；
WM_GETDLGCODE = $0087;
发送此消息给某个与对话框程序关联的控件，widdows控制方位键和TAB键使输入进入此控件
通过响应WM_GETDLGCODE消息，应用程序可以把他当成一个特殊的输入控件并能处理它
WM_NCMOUSEMOVE = $00A0;
当光标在一个窗口的非客户区内移动时发送此消息给这个窗口 //非客户区为：窗体的标题栏及窗
的边框体
WM_NCLBUTTONDOWN = $00A1;
当光标在一个窗口的非客户区同时按下鼠标左键时提交此消息
WM_NCLBUTTONUP = $00A2;
当用户释放鼠标左键同时光标某个窗口在非客户区十发送此消息；
WM_NCLBUTTONDBLCLK = $00A3;
当用户双击鼠标左键同时光标某个窗口在非客户区十发送此消息
WM_NCRBUTTONDOWN = $00A4;
当用户按下鼠标右键同时光标又在窗口的非客户区时发送此消息
WM_NCRBUTTONUP = $00A5;
当用户释放鼠标右键同时光标又在窗口的非客户区时发送此消息
WM_NCRBUTTONDBLCLK = $00A6;
当用户双击鼠标右键同时光标某个窗口在非客户区十发送此消息
WM_NCMBUTTONDOWN = $00A7;
当用户按下鼠标中键同时光标又在窗口的非客户区时发送此消息
WM_NCMBUTTONUP = $00A8;
当用户释放鼠标中键同时光标又在窗口的非客户区时发送此消息
WM_NCMBUTTONDBLCLK = $00A9;
当用户双击鼠标中键同时光标又在窗口的非客户区时发送此消息
WM_KEYFIRST = $0100;
WM_KEYDOWN = $0100;
//按下一个键
WM_KEYUP = $0101;
//释放一个键
WM_CHAR = $0102;
//按下某键，并已发出WM_KEYDOWN， WM_KEYUP消息
WM_DEADCHAR = $0103;
当用translatemessage函数翻译WM_KEYUP消息时发送此消息给拥有焦点的窗口
WM_SYSKEYDOWN = $0104;
当用户按住ALT键同时按下其它键时提交此消息给拥有焦点的窗口；
WM_SYSKEYUP = $0105;
当用户释放一个键同时ALT 键还按着时提交此消息给拥有焦点的窗口
WM_SYSCHAR = $0106;
当WM_SYSKEYDOWN消息被TRANSLATEMESSAGE函数翻译后提交此消息给拥有焦点的窗口
WM_SYSDEADCHAR = $0107;
当WM_SYSKEYDOWN消息被TRANSLATEMESSAGE函数翻译后发送此消息给拥有焦点的窗口
WM_KEYLAST = $0108;
WM_INITDIALOG = $0110;
在一个对话框程序被显示前发送此消息给它，通常用此消息初始化控件和执行其它任务
WM_COMMAND = $0111;
当用户选择一条菜单命令项或当某个控件发送一条消息给它的父窗口，一个快捷键被翻译
WM_SYSCOMMAND = $0112;
当用户选择窗口菜单的一条命令或当用户选择最大化或最小化时那个窗口会收到此消息
WM_TIMER = $0113; //发生了定时器事件
WM_HSCROLL = $0114;
当一个窗口标准水平滚动条产生一个滚动事件时发送此消息给那个窗口，也发送给拥有它的控件
WM_VSCROLL = $0115;
当一个窗口标准垂直滚动条产生一个滚动事件时发送此消息给那个窗口也，发送给拥有它的控件 WM_INITMENU = $0116;
当一个菜单将要被激活时发送此消息，它发生在用户菜单条中的某项或按下某个菜单键，它允许程序在显示前更改菜单
WM_INITMENUPOPUP = $0117;
当一个下拉菜单或子菜单将要被激活时发送此消息，它允许程序在它显示前更改菜单，而不要改变全部
WM_MENUSELECT = $011F;
当用户选择一条菜单项时发送此消息给菜单的所有者（一般是窗口）
WM_MENUCHAR = $0120;
当菜单已被激活用户按下了某个键（不同于加速键），发送此消息给菜单的所有者；
WM_ENTERIDLE = $0121;
当一个模态对话框或菜单进入空载状态时发送此消息给它的所有者，一个模态对话框或菜单进入空载状态就是在处理完一条或几条先前的消息后没有消息它的列队中等待
WM_MENURBUTTONUP = $0122;
WM_MENUDRAG = $0123;
WM_MENUGETOBJECT = $0124;
WM_UNINITMENUPOPUP = $0125;
WM_MENUCOMMAND = $0126;
WM_CHANGEUISTATE = $0127;
WM_UPDATEUISTATE = $0128;
WM_QUERYUISTATE = $0129;
WM_CTLCOLORMSGBOX = $0132;
在windows绘制消息框前发送此消息给消息框的所有者窗口，通过响应这条消息，所有者窗口可以通过使用给定的相关显示设备的句柄来设置消息框的文本和背景颜色
WM_CTLCOLOREDIT = $0133;
当一个编辑型控件将要被绘制时发送此消息给它的父窗口；通过响应这条消息，所有者窗口可以通过使用给定的相关显示设备的句柄来设置编辑框的文本和背景颜色
WM_CTLCOLORLISTBOX = $0134;
当一个列表框控件将要被绘制前发送此消息给它的父窗口；通过响应这条消息，所有者窗口可以通过使用给定的相关显示设备的句柄来设置列表框的文本和背景颜色
WM_CTLCOLORBTN = $0135;
当一个按钮控件将要被绘制时发送此消息给它的父窗口；通过响应这条消息，所有者窗口可以通过使用给定的相关显示设备的句柄来设置按纽的文本和背景颜色
WM_CTLCOLORDLG = $0136;
当一个对话框控件将要被绘制前发送此消息给它的父窗口；通过响应这条消息，所有者窗口可以通过使用给定的相关显示设备的句柄来设置对话框的文本背景颜色
WM_CTLCOLORSCROLLBAR= $0137;
当一个滚动条控件将要被绘制时发送此消息给它的父窗口；通过响应这条消息，所有者窗口可以通过使用给定的相关显示设备的句柄来设置滚动条的背景颜色
WM_CTLCOLORSTATIC = $0138;
当一个静态控件将要被绘制时发送此消息给它的父窗口；通过响应这条消息，所有者窗口可以通过使用给定的相关显示设备的句柄来设置静态控件的文本和背景颜色
WM_MOUSEFIRST = $0200;
WM_MOUSEMOVE = $0200;
// 移动鼠标
WM_LBUTTONDOWN = $0201;
//按下鼠标左键
WM_LBUTTONUP = $0202;
//释放鼠标左键
WM_LBUTTONDBLCLK = $0203;
//双击鼠标左键
WM_RBUTTONDOWN = $0204;
//按下鼠标右键
WM_RBUTTONUP = $0205;
//释放鼠标右键
WM_RBUTTONDBLCLK = $0206;
//双击鼠标右键
WM_MBUTTONDOWN = $0207;
//按下鼠标中键
WM_MBUTTONUP = $0208;
//释放鼠标中键
WM_MBUTTONDBLCLK = $0209;
//双击鼠标中键
WM_MOUSEWHEEL = $020A;
当鼠标轮子转动时发送此消息个当前有焦点的控件
WM_MOUSELAST = $020A;
WM_PARENTNOTIFY = $0210;
当MDI子窗口被创建或被销毁，或用户按了一下鼠标键而光标在子窗口上时发送此消息给它的父窗口
WM_ENTERMENULOOP = $0211;
发送此消息通知应用程序的主窗口that已经进入了菜单循环模式
WM_EXITMENULOOP = $0212;
发送此消息通知应用程序的主窗口that已退出了菜单循环模式
WM_NEXTMENU = $0213;
WM_SIZING = 532;
当用户正在调整窗口大小时发送此消息给窗口；通过此消息应用程序可以监视窗口大小和位置也可以修改他们
WM_CAPTURECHANGED = 533;
发送此消息 给窗口当它失去捕获的鼠标时；
WM_MOVING = 534;
当用户在移动窗口时发送此消息，通过此消息应用程序可以监视窗口大小和位置也可以修改他们；
WM_POWERBROADCAST = 536;
此消息发送给应用程序来通知它有关电源管理事件；
WM_DEVICECHANGE = 537;
当设备的硬件配置改变时发送此消息给应用程序或设备驱动程序
WM_IME_STARTCOMPOSITION = $010D;
WM_IME_ENDCOMPOSITION = $010E;
WM_IME_COMPOSITION = $010F;
WM_IME_KEYLAST = $010F;
WM_IME_SETCONTEXT = $0281;
WM_IME_NOTIFY = $0282;
WM_IME_CONTROL = $0283;
WM_IME_COMPOSITIONFULL = $0284;
WM_IME_SELECT = $0285;
WM_IME_CHAR = $0286;
WM_IME_REQUEST = $0288;
WM_IME_KEYDOWN = $0290;
WM_IME_KEYUP = $0291;
WM_MDICREATE = $0220;
应用程序发送此消息给多文档的客户窗口来创建一个MDI 子窗口
WM_MDIDESTROY = $0221;
应用程序发送此消息给多文档的客户窗口来关闭一个MDI 子窗口
WM_MDIACTIVATE = $0222;
应用程序发送此消息给多文档的客户窗口通知客户窗口激活另一个MDI子窗口，当客户窗口收到此消息后，它发出WM_MDIACTIVE消息给MDI子窗口（未激活）激活它；
WM_MDIRESTORE = $0223;
程序 发送此消息给MDI客户窗口让子窗口从最大最小化恢复到原来大小
WM_MDINEXT = $0224;
程序 发送此消息给MDI客户窗口激活下一个或前一个窗口
WM_MDIMAXIMIZE = $0225;
程序发送此消息给MDI客户窗口来最大化一个MDI子窗口；
WM_MDITILE = $0226;
程序 发送此消息给MDI客户窗口以平铺方式重新排列所有MDI子窗口
WM_MDICASCADE = $0227;
程序 发送此消息给MDI客户窗口以层叠方式重新排列所有MDI子窗口
WM_MDIICONARRANGE = $0228;
程序 发送此消息给MDI客户窗口重新排列所有最小化的MDI子窗口
WM_MDIGETACTIVE = $0229;
程序 发送此消息给MDI客户窗口来找到激活的子窗口的句柄
WM_MDISETMENU = $0230;
程序 发送此消息给MDI客户窗口用MDI菜单代替子窗口的菜单
WM_ENTERSIZEMOVE = $0231;
WM_EXITSIZEMOVE = $0232;
WM_DROPFILES = $0233;
WM_MDIREFRESHMENU = $0234;
WM_MOUSEHOVER = $02A1;
WM_MOUSELEAVE = $02A3;
WM_CUT = $0300;
程序发送此消息给一个编辑框或combobox来删除当前选择的文本
WM_COPY = $0301;
程序发送此消息给一个编辑框或combobox来复制当前选择的文本到剪贴板
WM_PASTE = $0302;
程序发送此消息给editcontrol或combobox从剪贴板中得到数据
WM_CLEAR = $0303;
程序发送此消息给editcontrol或combobox清除当前选择的内容；
WM_UNDO = $0304;
程序发送此消息给editcontrol或combobox撤消最后一次操作
WM_RENDERFORMAT = $0305；
WM_RENDERALLFORMATS = $0306;
WM_DESTROYCLIPBOARD = $0307;
当调用ENPTYCLIPBOARD函数时 发送此消息给剪贴板的所有者
WM_DRAWCLIPBOARD = $0308;
当剪贴板的内容变化时发送此消息给剪贴板观察链的第一个窗口；它允许用剪贴板观察窗口来
显示剪贴板的新内容；
WM_PAINTCLIPBOARD = $0309;
当剪贴板包含CF_OWNERDIPLAY格式的数据并且剪贴板观察窗口的客户区需要重画；
WM_VSCROLLCLIPBOARD = $030A;
WM_SIZECLIPBOARD = $030B;
当剪贴板包含CF_OWNERDIPLAY格式的数据并且剪贴板观察窗口的客户区域的大小已经改变是此消息通过剪贴板观察窗口发送给剪贴板的所有者；
WM_ASKCBFORMATNAME = $030C;
通过剪贴板观察窗口发送此消息给剪贴板的所有者来请求一个CF_OWNERDISPLAY格式的剪贴板的名字
WM_CHANGECBCHAIN = $030D;
当一个窗口从剪贴板观察链中移去时发送此消息给剪贴板观察链的第一个窗口；
WM_HSCROLLCLIPBOARD = $030E;
此消息通过一个剪贴板观察窗口发送给剪贴板的所有者 ；它发生在当剪贴板包含CFOWNERDISPALY格式的数据并且有个事件在剪贴板观察窗的水平滚动条上；所有者应滚动剪贴板图象并更新滚动条的值；
WM_QUERYNEWPALETTE = $030F;
此消息发送给将要收到焦点的窗口，此消息能使窗口在收到焦点时同时有机会实现他的逻辑调色板
WM_PALETTEISCHANGING= $0310;
当一个应用程序正要实现它的逻辑调色板时发此消息通知所有的应用程序
WM_PALETTECHANGED = $0311;
此消息在一个拥有焦点的窗口实现它的逻辑调色板后发送此消息给所有顶级并重叠的窗口，以此来改变系统调色板
WM_HOTKEY = $0312;
当用户按下由REGISTERHOTKEY函数注册的热键时提交此消息
WM_PRINT = 791;
应用程序发送此消息仅当WINDOWS或其它应用程序发出一个请求要求绘制一个应用程序的一部分；
WM_PRINTCLIENT = 792;
WM_HANDHELDFIRST = 856;
WM_HANDHELDLAST = 863;
WM_PENWINFIRST = $0380;
WM_PENWINLAST = $038F;
WM_COALESCE_FIRST = $0390;
WM_COALESCE_LAST = $039F;
WM_DDE_FIRST = $03E0;
WM_DDE_INITIATE = WM_DDE_FIRST + 0;
一个DDE客户程序提交此消息开始一个与服务器程序的会话来响应那个指定的程序和主题名；
WM_DDE_TERMINATE = WM_DDE_FIRST + 1;
一个DDE应用程序（无论是客户还是服务器）提交此消息来终止一个会话；
WM_DDE_ADVISE = WM_DDE_FIRST + 2;
一个DDE客户程序提交此消息给一个DDE服务程序来请求服务器每当数据项改变时更新它
WM_DDE_UNADVISE = WM_DDE_FIRST + 3;
一个DDE客户程序通过此消息通知一个DDE服务程序不更新指定的项或一个特殊的剪贴板格式的项
WM_DDE_ACK = WM_DDE_FIRST + 4;
此消息通知一个DDE（动态数据交换）程序已收到并正在处理WM_DDE_POKE, WM_DDE_EXECUTE, WM_DDE_DATA, WM_DDE_ADVISE, WM_DDE_UNADVISE, or WM_DDE_INITIAT消息
WM_DDE_DATA = WM_DDE_FIRST + 5;
一个DDE服务程序提交此消息给DDE客户程序来传递个一数据项给客户或通知客户的一条可用数据项
WM_DDE_REQUEST = WM_DDE_FIRST + 6;
一个DDE客户程序提交此消息给一个DDE服务程序来请求一个数据项的值；
WM_DDE_POKE = WM_DDE_FIRST + 7;
一个DDE客户程序提交此消息给一个DDE服务程序，客户使用此消息来请求服务器接收一个未经同意的数据项；服务器通过答复WM_DDE_ACK消息提示是否它接收这个数据项；
WM_DDE_EXECUTE = WM_DDE_FIRST + 8;
一个DDE客户程序提交此消息给一个DDE服务程序来发送一个字符串给服务器让它象串行命令一样被处理，服务器通过提交WM_DDE_ACK消息来作回应；
WM_DDE_LAST = WM_DDE_FIRST + 8;
WM_APP = $8000;
WM_USER = $0400;
此消息能帮助应用程序自定义私有消息；
/
通知消息(Notification message)是指这样一种消息，一个窗口内的子控件发生了一些事情，需要通知父窗口。通知消息只适用于标准的窗口控件如按钮、列表框、组合框、编辑框，以及Windows 95公共控件如树状视图、列表视图等。例如，单击或双击一个控件、在控件中选择部分文本、操作控件的滚动条都会产生通知消息。
按扭
BN_CLICKED //用户单击了按钮
BN_DISABLE //按钮被禁止
BN_DOUBLECLICKED //用户双击了按钮
BN_HILITE //用户加亮了按钮
BN_PAINT//按钮应当重画
BN_UNHILITE//加亮应当去掉
组合框
CBN_CLOSEUP//组合框的列表框被关闭
CBN_DBLCLK//用户双击了一个字符串
CBN_DROPDOWN//组合框的列表框被拉出
CBN_EDITCHANGE//用户修改了编辑框中的文本
CBN_EDITUPDATE//编辑框内的文本即将更新
CBN_ERRSPACE//组合框内存不足
CBN_KILLFOCUS//组合框失去输入焦点
CBN_SELCHANGE//在组合框中选择了一项
CBN_SELENDCANCEL//用户的选择应当被取消
CBN_SELENDOK//用户的选择是合法的
CBN_SETFOCUS//组合框获得输入焦点
编辑框
EN_CHANGE//编辑框中的文本己更新
EN_ERRSPACE//编辑框内存不足
EN_HSCROLL//用户点击了水平滚动条
EN_KILLFOCUS//编辑框正在失去输入焦点
EN_MAXTEXT//插入的内容被截断
EN_SETFOCUS//编辑框获得输入焦点
EN_UPDATE//编辑框中的文本将要更新
EN_VSCROLL//用户点击了垂直滚动条消息含义
列表框
LBN_DBLCLK//用户双击了一项
LBN_ERRSPACE//列表框内存不够
LBN_KILLFOCUS//列表框正在失去输入焦点
LBN_SELCANCEL//选择被取消
LBN_SELCHANGE//选择了另一项
LBN_SETFOCUS//列表框获得输入焦点