2024年4月25日发(作者：)

维普资讯

Ｌ　■　

翱　

Ｈ　Ｅｌ　ＫＥ　ＦＡＮＧ　ＸＩ　Ａ　

——冒＿　—●臣胃　

文＼图木雨轩　

在林林总总的黑软中，有一类工具如幽灵般地跟踪　

用户，对指定机器上的键盘操作进行记录，从而达到对　

ｄｌｌ文件即可。　

小提示：ｉｎｔｅｒｎｅｔ．ｅｘｅ文件在视窗系统中原本是输入　

用户的行为了如指掌的地步。此类键盘记录类工具大多　

以截获ＱＱ密码、页面登录密码、邮箱密码等以星号显　

示的密码为主要目的，其工作原理就是通过访问视窗操　

作系统的键盘输入缓冲区上的队列，来获知显示在屏幕　

上的星号，并记录下来。我们选取了此类软件中的一些　

佼佼者，详细阐述了其功能、使用以及清除手段，让　

大家能做到心中有数，以免秘密尽失！　

使用工具：ｅｄｉｔｍａ　

文件大小：２２６ＫＢ　

下载地址：ｈｔｔｐ：／／２１１．１　６３．４９．３６／ｈｂｓｏｆｔ／ｔｏｏｌｓ／　

ｏｔｈｅｒ／Ｈｏｏｋｌｔｌ　１．ｚ｜Ｄ　

法，属于随系统自动运行的常规程序，所以即使它被木　

马服务器端替换了，用户也不易查觉，除非刻意查看其　

文件体积是否与源文件相符。曾经有段时间，有个ＱＱ黑　

软下载基地提供下载的ＱＱ破解版就是通过这种偷梁换柱　

的方法，盗窃安装该Ｑ＿Ｑ破解版用户的密码。　

使用工具：Ｈｏｏｋ　Ｉｔ　

文件大小：８ＫＢ　

下载地址：ｈｔｔｐ：／／２１１．１　６３．４９．３６／ｈｂｓｏｆｔ／ｔｏｏｌｓ／　

ｏｔｈｅｒ／Ｈｏｏｋｌｔｌ　１．ｚｉｐ　

软件功能：常见的键盘记录类工具都是记录星号密　

码或英文字符，但这款软件却与众不同，它可以记录中　

文的输入文字。　

工具使用：当执行ＨｏｏｋＩｔ．ｅｘｅ文件后，当前用户　

所输入的所有文字大都会被记录下来，存储在程序安装　

文件夹的“Ｏｈ　Ｍｅｎ　文件中。该程序目前不支持记　

录在Ｗｏｒｄ及ＩＥ５中输入的文字。　

清除手段：若要禁止该软件的运行很简单，只要按　

Ｃｔｒｌ＋Ａｌｔ　４－Ｄｅｌｅｔｅ组合键，在系统进程列表中，封杀　

ＨＯｏｋＩｔ进程即可。如果要卸载该软件，只需再运行一　

次ＨｏｏｋＩｔ　ｅｘｅ程序即可。　

便用工具：ｗｉｎａｄｍ　

软件功能：ｅｄＪｔｍａ可以监视在视窗操作系统下的各　

类密码，主要是ＱＱ密码。从功能上来说，ｅｄｉｔｍａ也　

可以算是一个小木马。　

软件使用：运行ｅｄｉｔｍａ．ｅｘｅ文件（木马客户端），　

配置如图　

ｌ所示的　

程序界　

面。此　

程泞已自　

动定位了　

“被配置　

文件”　

文件大小：１　７４５ＫＢ　

所在的路　

径。用　

户首先要明确存储密码的文件所在位置，默认设置是　

下载地址：ｈｔｔｐ：／／２０２　１　０２．４　１　７／ｒｉｎａ／５２１　ｈａｃｋｅｒ／　

ｋｅｙ／ｗｉｎａｄｍ＿ｓｅｔｕｐ　ｅｘｅ　

软件功能：可以记录所有的键盘输入、运行过的程　

序以及访问过的网址。除了键盘记录功能之外，它还可　

以用密码锁定指定的应用程序以及在指定时间内关闭某个　

程序。　

“＜％ＳＹＳＴＥＭ％＞＼ａｎｇｅｌｐｗｄ．ｓｈｕ”，即系统盘ＳＹＳＴＥＭ　

文件夹中的ａｎｇｅｌｐｗｄ．ｓｈｕ文件。其后，查看一下Ｅｍａｉｌ　

相关设置，推荐ＳＭＴＰ服务器的设置保持默认状态。此　

后，按需设置“发送信箱”及“接收信箱”，为防　

止设置有误，可以点击发信测试按钮验证其有效性。当　

设置完毕后，只要运行程序目录下的ｉｎｔｅｍｅｔ．ｅｘｅ程序，　

该木马服务器端即被激活，此后，它会随系统自动运　

行，截获中招机器的密码后自动发送到指定邮箱。　

清除手段：只要删除注册表ｒｕｎ项目中的Ｉｎｔｅｒｎｅｔ　

工具使用：ｗｉｎａｄｍ需安装后才能使用，在默认设　

置下，程序会随系统自动运行，如果用户禁用了此项功　

能，当需要启动程序时，无论是查看“开始”菜单程　

序组中的相关快捷方式还是程序安装目录，都找不到程　

序启动文件。实际上，该文件被安装在了“Ｃ：　

＼ＷＩＮＤＯＷＳ＼ＳＹＳＴＥＭ”路径中。在资源管理器中激　

活显示所有文件选项，会看到ｗｉｎａｄｍ．ｅｘｅ隐藏文件，双　

Ｆｉｌｅ键值，并删除系统目录下的ｉｎｔｅｍｅｔ．ｅｘｅ和ｋｅｙｈｏｏｋ、　

维普资讯

Ｓｅｔｔｉｎｇｓ标签页（图２），在“Ｅｍａｉｌ　ｔＯ：”文本框中　

输入发送邮箱地址；在“Ｅｍａｉｌ　ｆｒｏｍ：”文本框中输入　

２　

接收邮箱地址；在“Ｅ—Ｍａｉｌ　Ｓｅｖｅｒ：”文本框中设邮件　

服务器地址。至于其他的功能，不在键盘记录的范畴之　

内，就不予介绍了。　

清除手段：由于ｗｉｎａｄｍ，ｅｘｅ是常规安装程序，因　

此，直接运行程序组中的ｗｉｎａｄｍ—Ｕｎｉｎｓｔａｌｌ—ｗｉｎａｄｍ　

即可卸载。　

使用工具：密码专家　

文件大小：１　８６ＫＢ　

下载地址：ｈｔｔｐ：／／２０２．１０２　４．１　７／ｒｉｎａ／５２１　ｈａｃｋｅｒ／　

ｋｅｙ／ＰＥ３２　ｚｉｐ　

软件功能：在键盘记录类软件中，密码专家　

（Ｐａｓｓｗｏｒｄ　Ｅｘｐｅｒｔ）属于一款功能比较全面的工具，除　

了Ｗｅｂ页面的登录密码外，它还可以截获各类软件的密　

码。由于采用了全程监控技术，因此使得截获成功率很　

高。　

工具使用：当首次运行密码专家后，需要设置发送　

邮箱、邮箱密码及服务器等相关设置。此后，重新启　

动系统，程序即开始在后台运行，并将截获的密码发送　

到指定的邮箱中。　

清除手段：首先，运行“开始一程序一附件一系　

统工具一系统信息”，在“Ｍｉｃｒｏｓｏｆｔ系统信息”程序　

窗口中，点击菜单栏上的“工具一系统配置实用程　

序”，切换到“启动”选项卡，在此去除“Ｍ　Ｍ　Ｃ　Ｉ”　

复选框中的对号，使其不随系统自动运行。此后，删　

除“Ｃ：＼ＷＩＮＤＯＷＳ＼ＳＹＳＴＥＭ”文件夹中的“ＭＭＣＩ”　

程序文件（如果有同名的ＤＬＬ动态链接库文件也一并删　

除）。　

』　

下载地址：ｈｔｔｐ：／／２０２．１０２．４．１　７／ｒｉｎａ／５２１　ｈａｃｋｅｒ／　

ｋｅｙ／ｋｅｙｋｅｙ．ｚｉｐ　

软件功能：ｋｅｙｋｅｙ与众不同之处在于，它除了可　

以监视视窗图形界面下的键盘敲击记录外，还能够记录　

Ｗｉｎｄｏｓ系统ＤＯＳ环境下的键盘操作。此外，还具有记　

录开机、关机时间等功能。　

工具使用：首先，运行ｉｎｓｔａｌ１．ｅｘｅ文件，将程序　

安装到指定目录中（默认路径Ｃ：＼ＫＥＹＫＥＹ）。其后，　

重启计算机，打开Ｃ：＼ＫＥＹＫＥＹ文件夹，启动ｋｋｍｏｎ．　

ｅｘｅ程序文件，在程序主界面中查看Ｇｅｎｅｒａｌ　Ｏｐｔｉｏｎ选　

项卡（图３），在此着重设置一下键盘记录的项目，若　

勾选“Ｒｅｃｏｒｄ　ｓｈｉｆｔ”复选框，表示记录换档键；若　

勾选“Ｒｅｃｏｒｄ　Ｓｔａｒｔ—ｕｐ　ａｎｄ　Ｓｈｕｔ－ｄｏｗｎ　ｄａｔｅ　ａｎｄ”　

复选框，表示记录打开及关闭计算机的日期、时间；若　

勾选“Ｒｅｃｏｒｄ　Ｐｒｏｃｅｓｓ／”复选框，表示记录所有运行　

过的程序；若勾选“Ｒｅｃｏｒｄ　Ｗｉｎｄｏｗｓ　Ｃａｐｔ”复选　

框，表示记录窗口标题；为避免日志文档过大，可以　

勾选“Ｅｎａｂｌｅ　Ａｕｔｏ　Ｆｌｕｓｈ　ｅｖｅｒｙ…”复选框，指定　

每隔…段时间，自动清除系统缓存。当设置完毕后，点　

击界面下端的ＡＣＴＩＶＡＴＥ按钮，程序即处于监视状态。　

若干时间之，如果用户想查看一下程序所截获的密码，　

则切换程序界面至“Ｖｉｅｗ／Ｒｅｐｏｒｔ　Ｏｐｔｉｏｎ”选项卡，　

查看“Ｏｕｔｐｕｔ　Ｏｐｔｉｏｎ”项目，在“Ｏｕｔｐｕｔ　Ｆｉｌｅ”　

文本框中设置输出文件所在路径及文件名，如果有需　

要，还可以在“Ｐａｓｓｗｏｒｄ”文本框中为该文件设置密　

码。最后，点击ＧＥＮＥＲＡＴＥ　ＲＥＰ０ＲＴ按钮，生成　

文件，再点击ＶＩＥｗ　ＬＯＧ按钮即可查看程序监控的结果　

了。　

蛳・ｍ蜘ｉＭ　ｌ嚣　Ⅲ　Ｉ如　ｈ　ＰⅢ¨ｒｔ　ｏｐｔ１　业　

ｅ蛳ｆｔ】．融ｔ　一”…一；　二二＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝二　＝＝二＝　

ｉ　Ｉ　Ｆ　ｈ　：、ＪｃＥＹＫＥＴ、ｌｏＩ　ｅ　。ｙ－ｓｃｎ　ｌ　

Ｏ

ｌｄ　Ｌｏ￣Ｆｉｌｅ　面而　而——～　

—

ｃ哪　Ｌ。‘Ｆｉｌ・　话赢爵试雨　磊　———一Ｉ　

—　

—一　

Ｉ矗　相　

《

、

．　

１３　（　日‘ｄ圭Ｉ‘ｔ鹏ｌ・ｒ．１・：Ｉ－ｌｏ∞　

ｉｍＬ。ｌ寥ｌ１．　｝８　轴　（和Ｉ埘ｌｉ虹ｔ・由ｒ埘＃ｉ　

，

譬　ｆ・０　｝５１２§辨－汹　（ｏ；瞻ｉｔ・　ｌ　

广ＥｍｅｎｄｔＩ　舟Ｉ　『　

孑　Ｐ￣ｃｏｒ　ｄ　一　“［圜刁　

广　日Ｍｅ￣

Ｒｏｅｏｒｄ－ｈ－

｛Ｍｔｏ享ｌ

ｂ　ｃ《ｔ～

璐ｈ“Ｉｌ５

　

犯日蛾ｔ｜ｌｌ　ｃｆ・ｎｌ・　

；　

　｝

ｒ　ｏＨｌ　一虹　ｔ翻（　＃　　ｌ

‘●ｙｌ０ｙ　

ｉ　硪　ｔ●“＃一　一　…　～　一　…一　

ｉ竹ｌ蝌　

跫　１．　

图５　

清除手段：运行程序安装目录中的ｕｎｉｎｓｔ．ｅｘｅ文件　

即可执行卸载操作。