检测键盘记录器

要可靠地检测所有类别的键盘记录器是非常困难的。本节首先解释为什么会这样，最后提出一种针对它们的可行防御措施。

首先，必须区分几类键盘记录器：

外部（或硬件）键盘记录器是以某种方式连接到你的计算机的设备。两个例子：一个插在键盘和计算机之间的小设备，或一个窃听无线键盘发射的无线电信号的设备。

此类键盘记录器的共同原理是，它们_外置于_被监视的 Windows 系统。在 Windows 内运行的软件无法检测、移除或防御外部键盘记录器。

这里描述的其他类别的键盘记录器，是在 Windows 内运行的软件键盘记录器。

Rootkit 键盘记录器在最低的软件层面记录按键，通常把自己定位为第二个键盘硬件驱动程序（用 Windows 术语说是_筛选器_驱动程序）。

一旦安装，此类键盘记录器可能提供最好的记录功能，也可能很难清除。但要首先安装，这种键盘记录器需要操作系统的显式帮助，因此很容易被 Sandboxie 阻止。

如果此类键盘记录器试图安装，Sandboxie 应报告一条信息性消息 SBIE2103，除非阻止驱动程序设置（另见沙盒设置 > 限制 > 低级访问）被显式用于禁用此保护。

这些键盘记录器不伪装成硬件驱动程序，但它们仍必须请求操作系统把它们加载（或_钩入_）到桌面上运行的每个程序中。

应用程序在正常操作中安装此类钩子并不少见，阻止所有这些钩子会阻止某些程序在沙盒内成功运行。

~~已从 Sandboxie 移除 - 阻止钩子命令~~

~~Sandboxie 采取的方法是部分满足钩子请求，只把钩子应用于与请求应用程序处于同一沙盒中的应用程序。~~

~~阻止 Win Hooks 设置（另见沙盒设置 > 限制 > 低级访问）可用于显式禁用此保护。~~

此类键盘记录器不需要操作系统的任何协助，只能可靠地记录单个程序内的活动。然而，从像 Sandboxie 这样的监管程序的角度来看，它们没有做任何可疑的事情，因此无法被阻止。

为了使桌面上运行的程序实际处理键盘输入，操作系统会向该程序发送一条描述输入的消息。消息键盘记录器很可能运行在被记录程序的同一进程空间中，它可以通过多种方式窥探这些消息，而这些方式不会引起怀疑。

通常，这种键盘记录器是一个秘密的网页浏览器插件（或插件的秘密组件），因此它可以轻松记录与网页浏览器相关的键盘活动。

此类键盘记录器以你将要访问的网站为目标并进行破坏。这与这里讨论的其他三种形式的键盘记录器形成对比，后者以你自己的计算机为目标并进行破坏。

JavaScript 和 VBScript 语言为网页响应按键提供了功能。这些功能的合法用途能够创建复杂的网页。例如，想想 Google 和 Yahoo! 的搜索如何响应你输入的按键来建议可能的搜索字符串。

利用网站的安全弱点，间谍会把脚本型键盘记录器嵌入该网站的某个页面中。这些键盘记录器与同一网站上的其他脚本几乎无法区分，并且可以使用相同的脚本功能来响应你的按键、记录它们或把它们传输到第三方网站。

Sandboxie 并非设计用于检测或禁用键盘记录器，而是设计用于确保沙盒化软件留在沙盒中、此类软件无法集成到 Windows 中，并且在你删除沙盒时可以完全丢弃。

这意味着，如果你注意把所有不可信的活动都放在沙盒中进行，你总是可以删除沙盒来撤销该活动的影响，并把你的计算机恢复到可信状态。

第一步是确保在使用 Sandboxie 之前，你的系统没有被恶意键盘记录器感染。杀毒或反恶意软件工具的系统扫描应该有所帮助。

然后，只把沙盒这个受限区域用于所有不可信的活动——如浏览网页、阅读电子邮件和测试未知程序。这并不意味着你不会感染键盘记录器，但它确实意味着你可以摆脱它们：

一旦被丢弃，它们就无法再记录你的键盘活动，你可以放心地浏览可信网站并输入密码。

注意：如果你不喜欢定期删除沙盒，你可以留出一个沙盒用于可信浏览，并在进行可信活动前只删除那个沙盒。但为了获得最大保护，首先停止所有沙盒中的所有沙盒化活动仍然很重要。

针对键盘记录器的另一项保护措施是配置 Sandboxie，除网页浏览器外拒绝任何东西访问互联网，试图防止键盘记录器把记录的信息发送出去。参见程序设置中“唯一可以访问互联网的程序”的设置。

注意两个告诫：