Windows Keylogger逆向分析

4 min readOct 9, 2020

在惡意程式當中，最常見的行為是木馬/後門，接下來就是鍵盤側錄(Keylogger)，因此我們這篇就要來研究它是如何運作的，雖然在技術上並沒有特別困難，不過想要入門惡意程式逆向分析的同學，會是不錯的選擇。

在分析Keylogger之前，我們先了解一下它是利用哪個API來記錄我們的按鍵。

SetWindowsHookEx是Windows提供給開發人員來Hook鍵盤、滑鼠、視窗訊息等等事件，因此Keylogger最常使用這個API，其中第一個參數(idHook)是要Hook哪種事件的行為，第二個參數(lpfn)是觸發此事件需要處理的函式(Callback Function)位址，第三個參數(hmod)是Current Module Handle，第四個參數(dwThreadID)是要Hook的Thread id，如果第四個參數是0，代表全局(桌面上運作的所有程式)Hook。

鍵盤事件有分WH_KEYBOARD(數值為0x2)和WH_KEYBOARD_LL(數值為0xD)，WH_KEYBOARD僅Hook視窗程式在調用GetMessage或PeekMessage時，按下鍵盤的按鍵，才會進入處理函式，不過WH_KEYBOARD_LL是在驅動層來過濾按下的按鍵，所以它可以更完整的監控所按下的按鍵。

一、SetWindowsHookEx分析

我們可以在SetWindowsHookEx下中斷點，並且分析它的參數，第一個參數它是使用0xD(WH_KEYBOARD_LL)，也就是驅動層鍵盤的Hook，第二個參數是0xB21118，這個位址是處理鍵盤按鍵的函式(Callback Function)，接下來才會進一步分析此函式的運作行為，第四個參數是0，代表是桌面上的所有程式都會被監控。

二、Callback Function分析

我們先來了解一下此函式的參數，第一個參數(nCode)是觸發的事件是屬於哪種行為，鍵盤是HC_ACTION(0x0)，第二個參數(wParam)是紀錄鍵盤是屬於按下(WM_KEYDOWN)還是彈起(WM_KEYUP)，第三個參數(lParam)是存取鍵盤相關的結構資訊(KBDLLHOOKSTRUCT)，其中vkCode是按鍵的資訊。