现在QQ密码框是没驱动保护的，而且一般Ring3键盘记录器是钩不键盘输入的，钩到的都是乱码。
键盘按键从端口--中断--IRP后在csrss中变成MSG，从很多地方都能钩住的。
windows键盘消息是从内核转发出来的，于是想，假如到消息从Ring0发Ring3时截住不就可以获取消息了么。
windows 消息从Ring0到Ring3是经过KeUserModeCallback的，处理函数在peb->KernelCallbackTable那里。
QQ是有低级键盘钩子的，所以键盘消息是先发给钩子处理函数的。
所以在USER32!__fnHkINLPKBDLLHOOKSTRUCT 处拦截键盘消息。
这必然是可以看到键盘消息的，只是看到的还有很多乱码。
想到windows还有个NtUserSendInput可以发送键盘消息的，而且键盘消息是经内核发出的，所以也会给fnHkINLPKBDLLHOOKSTRUCT收到。
这就是QQ键盘干扰的来源。
断点发现
0:005> bp USER32!NtUserSendInput ".printf \"Send:%x\",low(poi(poi(esp+8)+4));.echo;g"
0:005> bp USER32!__fnHkINLPKBDLLHOOKSTRUCT ".printf \"KBDLLHook:%x\",low(poi(poi(esp+4)+10));.echo ;g "
0:005> g
Send:37
KBDLLHook:37
Send:36
KBDLLHook:36
Send:37
KBDLLHook:37
KBDLLHook:36
Send:37
KBDLLHook:37
Send:44
KBDLLHook:44
Send:41
KBDLLHook:41
KBDLLHook:44
Send:41
KBDLLHook:41
Send:46
KBDLLHook:46
Send:55
KBDLLHook:55
KBDLLHook:46
Send:55
KBDLLHook:55
Send:52
KBDLLHook:52
Send:51
KBDLLHook:51
KBDLLHook:52

只要记录发送了什么，再在记录后去除发送的，剩下的就是用户的按键了。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课