前言：

　　本文还是去年年初写的，当时出于安全考虑没放出来。现在部分网上银行已大幅度降低了无高级别安全措施情况下的转账限额，并建议用户使用动态口令卡或者USBKey，总体安全系数有所提高。

　　随着子商务的普及，网上银行以及在线电子支付等方式逐渐被网民所接受和喜爱。但是网上银行以及电子商务支付平台的安全性不容乐观。尽管各网上银行采取SSL加密防止通过嗅探网络封包的方式截取密码;对于防止WEB登陆时密码被窃取，网上银行采取了安全控件或者动态软键盘的方法，但考虑的仍不全面，我们还是能采取相应的方法截获用户输入的密码。

　　下面就以具有代表性的四大银行：中国工商银行(601398,股吧)、中国农业银行、中国建设银行(601939,股吧)、中国银行(601988,股吧);商业银行：招商银行(600036,股吧);电子支付平台：阿里巴巴支付宝等为例，分别就客户端密码方面进行脆弱性分析。网上银行以及其他电子商务支付平台的WEB登陆安全性直接与用户的经济利益相关，所以有必要不遗余力的加强WEB登陆安全性的建设。另外由于不是所有的用户都使用数字证书和U盾之类安全认证产品，所以“黑客”只要截取到用户的登陆密码以及支付密码就能随心所欲的转帐/支付，危害甚大。

　　本文谈的是采用纯技术截取密码，而不是用假页面假接口等钓鱼方式骗取密码的方法。

　　网上银行对于防止密码被盗分别采用了安全控件和动态软键盘的方法：

　　1、采取安全控件的，典型代表有：中国工商银行、招商银行、阿里巴巴支付宝等

　　这类安全控件考虑还算全面，防止了键盘/消息钩子，而且使通过IE的COM接口获取密码的方法也无能为力。但是这类安全控件做得不够底层，考虑得欠深入。

　　我们采用键盘过滤驱动的方法就可以突破安全控件的保护记录密码了。除了键盘过滤驱动方法外还可以挂接IDT(中断描述符表)的键盘入口，或者挂钩键盘驱动Dispatch例程以及Inlinehook相应IRP分发函数。当然，更深入点的话还可以挂钩i8042prt.sys。