语法：AGTH.EXE <选择项> <需要挂钩的程序命令行>

载入选项:
/L[语系代码]-将程序语系转为[语系代码],需安装APPLOCALE,无法与/R同时执行(默认值:411)
/R[语系代码]-将线程语系专为[语系代码](默认值:411)
/P[进程ID |进程名称}]-附加处理，不能同时使用/L,/R,/NH,[加载程序命令行]
/PN[进程名]-通过exe文件的进程名附加程序

界面选项：
/B[分离倍数][:[部长时间][:分离时间]]-设定段落分离参数(默认值:4:24:1000)
/C[延时]-自动把当前屏幕显示的文字复制到剪贴板，延时单位为毫秒(默认值：150)
/KF[词语底数][:词语倍数]-防止词语重复"词语底数"及"词语倍数"是追踪数据(默认值:32:16)
/KS[数量]-移除设定[数量]次数的重复字符(默认值:1)
/NA-非严格访问控制文本传输
/NF-禁止过滤某些字符
/NX-自动退出，在挂钩程序退出后AGTH随之退出
/T-总是在最上方
/W[内文][次要内文]-自动选择内文(默认值:0:任何)

Hook选项：
/H{A|B|W|S|Q|H}[N][data_offset[*drdo]][:sub_offset][*drdo][#level][@addr][:module][:{name|#ordinal|}]]]-参见Hook详细说明
/IH-当用"level"及安装用户自定钩子时显示路径
/NC-不挂钩衍生程序
/NH-自动加载APPLOCALE，不提取文字，也不显示AGTH窗口，不能同时使用/L,/R,/P
/NJ-俘获非unicode文本时,使用线程代码页,不进行转换
/NS-不使用次要文本
/S[IP地址]-将文本发送到指定的计算机(默认值:本地计算机)
/V-从系统内容处理文本线程
/X[表征码]-扩大钩子功能的数集(默认值:1;可用数集:2)

注意:用于/L /R /W /X /H (除了序数以外)的数字均为十六进制不加字首



Hook详细说明:

/H{A|B|W|S|Q|H}[N][data_offset[*drdo]][:sub_offset][*drdo][#level][@addr][:module][:{name|#ordinal|}]]]

设定辅助Hook

Hook类型:
A-双字节字符集(little-endian)
B-双字节字符集(big-endian)
W-unicode字符集(UCS2)
S-MBCS字符集
Q-UTF-16字符集
H-16进制的二位元组

Hook参数:
X-使用硬件断点, 在win2003+x86和x64上有效
N-不使用设备环境
data_offset-字符偏移量堆积(字符串指针)
drdo-增加"data_offset"级别
sub-offset-设备环境偏移量堆积
drso-增加"sub_offset"级别
level-堆积结构的编号,由地址寄存器的返回记录构成
addr-钩子地址
module-程序块名称的基地址导出到地址寄存器
name-用程序块名称的基地址导出到地址寄存器
ordinal-用程序块序号的基地址导出到地址寄存器

"data_offset"和"sub_offset"的负数数值时对应参考如下:
-4 用于EAX,-8 用于ECX,-C 用于EDX,-10 用于EBX,-14 用于ESP,-18 用于 EBP,-1C 用于ESI,-20 用于EDI

"增加级别"的方法,使用 C/C++ 结构:(*(ESP+data_offset)+drdo) 指令输出 (ESP+data_offset)
注意:所有数字均为十六进制不加字首
