鍵盤記錄器 又稱鍵盤監控、鍵盤屏幕記錄器，是一類在用戶不知情情況下，記錄鍵盤擊鍵序列、剪貼板內容、螢幕截圖、應用切換、甚至網頁表單提交數據的監控軟體/硬體。合法用途包括企業資安審計、家長監護、科學研究；非法用途涉及竊取帳號密碼、商業機密、隱私聊天記錄。本文從原理、分類、檢測清除、法律邊界四個維度系統闡述。
| 類型 | 實現層級 | 原理 | 特徵 | 檢測難度 |
|---|---|---|---|---|
| 硬體鍵盤記錄器 | 物理層 | 插在鍵盤與主機之間的微型裝置 (USB/PS2 轉接器內置存儲/無線發射) | 完全繞過作業系統、殺毒軟體無法掃描、需物理檢查 | 極高 (需物理排查) |
| 核心層軟體 | Ring 0 (驅動層) | 鍵盤類別過濾驅動 / IRP 截獲 / SSDT Hook / DKOM | 權限最高、可隱藏進程/文件/註冊表、Rootkit 常用技術 | 高 (需專業反 Rootkit 工具) |
| 用戶層軟體 | Ring 3 (應用層) | SetWindowsHookEx (WH_KEYBOARD_LL) / GetAsyncKeyState 輪詢 / RAW INPUT / 訊息鉤子 | 實現簡單、易被殺毒攔截、任務管理器可見進程 | 低 (常規掃描可查) |
| 瀏覽器/應用層 | 應用內部 | 擴充套件/腳本監聽 onkeydown / form submit / 剪貼板 API | 僅限特定應用、權限受沙箱限制 | 中 (瀏覽器擴充管理可見) |
| 聲音/視訊側錄 | 物理/驅動層 | 麥克風錄音分析擊鍵聲紋 / 攝影頭拍攝鍵盤區域 | 非直接記錄、誤差大、隱蔽性強 | 極高 |
KL-Detector (免費、行為分析) / SpyShelter (付費、核心級防護) / Zemana AntiLogger / Ghostpress (開源、鍵盤加密)。chrome://extensions → 移除未識別/不需要的擴充套件。about:addons → 擴充套件審查。GMER / RKUnhooker / TDSSKiller 掃描隱藏驅動/SSDT Hook/DKOM。HKLM\SYSTEM\CurrentControlSet\Services\{惡意驅動名} → Start=4 (禁用) → 刪除 .sys 文件 → 重啟。| 場景 | 合法性依據 | 合規要求 | 風險紅線 |
|---|---|---|---|
| 企業員工電腦審計 | 《網絡安全法》第 25 條、《個人信息保護法》第 13 條 | 1. 事前書面告知並簽署同意書 2. 僅記錄業務相關操作 3. 數據加密存儲、訪問權限最小化 4. 定期銷毀非必要數據 | 竊取個人隱私 (銀行密碼/私人聊天/醫療記錄) |
| 未成年人網絡保護 | 《未成年人網絡保護條例》第 17 條 | 1. 監護人身份驗證 2. 僅限內容過濾/時長統計/風險預警 3. 不得記錄具體輸入內容 (密碼/私密聊天) | 濫用監控數據進行體罰/羞辱/商業變現 |
| 科學研究/用戶體驗測試 | 《個人信息保護法》第 13 條 (單獨同意) | 1. 知情同意書詳細說明數據範圍/用途/保存期限 2. 去識別化處理 3. 道德委員會審批 | 未脫敏數據外洩/挪作他用 |
| 竊取他人帳號/商業機密 | 《刑法》第 285 條 (非法侵入計算機信息系統罪)、第 219 條 (侵犯商業秘密罪) | — | 構成犯罪，最高 7 年有期徒刑 |
Ghostpress (開源、攔截鍵盤鉤子、加密擊鍵流) / SpyShelter (商業、核心級加密)。鍵盤記錄器從硬體轉接器到核心 Rootkit，技術手段不斷進化，但物理層永遠是最難防禦也最易發現的環節。普通用戶只需堅持：「不在公共電腦輸入核心密碼、使用密碼管理器自動填充、定期物理檢查接口、運行 Ghostpress 等鍵盤加密工具」，即可將風險降至極低。企業/機構部署監控必須嚴守「告知同意、最小化、去識別化、定期銷毀」四大合規原則，否則將面臨嚴重法律後果。技術無善惡，使用者心決定一切。
