Перехват сохранения в файл

Во первых объяви вот это:

type
///////////////////////////////////////////////////////////////////
  PFunctionRestoreData = ^TFunctionRestoreData;
  TFunctionRestoreData = packed record
                         Address: POINTER;
                         Val1: BYTE;
                         Val2: DWORD;
///////////////////////////////////////////////////////////////////
end;


 // ФУНКЦИЯ ПЕРЕПИСЫВАЕТ ПЕРВЫЕ 5 БАЙТ У ПЕРЕХВАТЫВАЕМОЙ ФУНКЦИИ
 // ЗАПИСЫВАЯ АДРЕС ФУНКЦИИ ОБРАБОТЧИКА
function RewriteFuncCode(CurFuncAddress, NewFuncAddress: POINTER; FuncRestoreData: PFunctionRestoreData): BOOL; stdcall;
var
OldProtect, JMPValue: CARDINAL;
begin
  Result := FALSE;
  if not VirtualProtect(CurFuncAddress, 5, PAGE_EXECUTE_READWRITE, OldProtect) then Exit;
  JMPValue := CARDINAL(NewFuncAddress) - CARDINAL(CurFuncAddress) - 5;
  FuncRestoreData^.Val1 := BYTE(CurFuncAddress^);
  FuncRestoreData^.Val2 := CARDINAL(Pointer(DWORD(CurFuncAddress) + 1)^);
  FuncRestoreData^.Address := CurFuncAddress;
  BYTE(CurFuncAddress^) := $E9;
  CARDINAL(Pointer(DWORD(CurFuncAddress)+1)^) := JMPValue;
  Result := VirtualProtect(CurFuncAddress, 5, OldProtect, OldProtect);
end;


 // ФУНКЦИЯ ВОССТАНАВЛИВАЕТ(ЗАПИСЫВАЕТ ИЗНАЧАЛЬНЫЕ)
 // ПЕРВЫЕ 5 БАЙТ У ПЕРЕХВАЧЕННОЙ ФУНКЦИИ
function RestoreFuncCode(FuncRestoreData: PFunctionRestoreData): BOOL; stdcall;
var
ProcAddress: POINTER;
OldProtect, JMPValue: CARDINAL;
begin
  Result:=False;
  ProcAddress := FuncRestoreData^.Address;
  if not VirtualProtect(ProcAddress, 5, PAGE_EXECUTE_READWRITE, OldProtect) then Exit;
  Byte(ProcAddress^) := FuncRestoreData^.Val1;
  CARDINAL(POINTER(CARDINAL(ProcAddress) + 1)^) := FuncRestoreData^.Val2;
  Result := VirtualProtect(ProcAddress, 5, OldProtect, OldProtect);
end;



 // ФУНКЦИЯ УСТАНАВЛИВАЕТ ПЕРЕХВАТ ВЫЗОВОВ API ФУНКЦИЙ
function SetFuncHook(ModuleHandle: CARDINAL; FuncName: PWideChar; NewFuncAddress: POINTER; FuncRestoreData: PFunctionRestoreData): BOOL; stdcall;
var
FuncAddress: POINTER;
begin
  FuncAddress := GetProcAddress(ModuleHandle, FuncName);
  Result := RewriteFuncCode(FuncAddress, NewFuncAddress, FuncRestoreData);
  //RestoreFuncCode(FuncRestoreData);
end;

Это всё там же в длл если кто не понял

 // ФУНКЦИЯ ВЫЗЫВАЕМАЯ В ОТВЕТ НА ВЫЗОВ СТАНДАРТНОЙ DestroyWindow
 // ПРИ ЗАКРЫТИИ ОКНА
function MyDestroyWindow(Handle: HWND): BOOL; stdcall; export;
var
DestroyWindowState: BOOL;
begin
  RestoreFuncCode(Addr(DestroyWindowRestoreData));
  // тут выполняем нужные нам действия
  // перед убийством окна, я например проверял хендл переданный в функцию
  // с имеющимся у меня и если они совпадают то я вообще больше не ставил хук
  DestroyWindowState := DestroyWindow(Handle); // Обрати внимание, мы вызываем стандартную т.к её только что восстановили(она теперь как родненькая).
  if Handle = ParentHandle then Exit;  // Тут я уже не следил что будет возвращать функция т.к это уже был конец работы приложения.
  SetFuncHook(User32Handle, 'DestroyWindow', MyDestroyWindowAddr, Addr(DestroyWindowRestoreData));
  Result := DestroyWindowState;
end;

Хук должен быть установлен при загрузке длл, для чего мы пишем в самом низу длл:

begin
// получаем тут все пути, пиды, хендлы которые нам понадобятся и ставим перехват
SetFuncHook(User32Handle, 'DestroyWindow', MyDestroyWindowAddr, Addr(DestroyWindowRestoreData));

end.