Есть ли способ определить, находится ли такая программа, как KeyScrambler, первой в списке фильтров драйвера клавиатуры?

Question

Недавно я обнаружил программу под названием KeyScrambler, которая выглядит как фильтр драйвера клавиатуры, который перехватывает нажатия клавиш и перемешивает их для вас, так что клавиатурные шпионы не могут получать нажатия клавиш при посещении сайтов онлайн-банкинга.

Мне было интересно, есть ли способ узнать, всегда ли KeyScrambler стоит первым в очереди для фильтров драйвера клавиатуры, или можно установить другой фильтр драйвера и перехватывать нажатия клавиш до того, как он попадет в KeyScrambler.

Answer 1

Предполагая, что вы работаете в Windows, вы можете использовать devcon.exe от Microsoft для вывода информации о стеке устройств. DevCon - это утилита для разработки драйверов, которая является альтернативой графическому интерфейсу диспетчера устройств. Драйверы фильтров могут быть включены в вывод.

devcon.exe доступен здесь или в Windows DDK. (DDK был создан для WinXP и Win2003; я считаю, что devcon.exe включен в текущий комплект драйверов Windows). Утилита в значительной степени самодокументируется; запустить devcon help чтобы начать работу.

Например, эта команда показывает мне устройства и фильтры в моей системе в классе клавиатуры:

C:\> devcon stack =keyboard
ACPI\PNP0303\4&891F7F0&0
    Name: Standard 101/102-Key or Microsoft Natural PS/2 Keyboard
    Setup Class: {4D36E96B-E325-11CE-BFC1-08002BE10318} Keyboard
    Class upper filters:
        kbdclass
    Controlling service:
        i8042prt
HID\VID_15C2&PID_0042&MI_00&COL02\7&18C89C67&0&0001
    Name: HID Keyboard Device
    Setup Class: {4D36E96B-E325-11CE-BFC1-08002BE10318} Keyboard
    Class upper filters:
        kbdclass
    Controlling service:
        kbdhid
2 matching device(s) found.

Answer 2

Я считаю, что все драйверы для клавиатуры можно найти в реестре по адресу:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}

Под этим ключом вы найдете подразделы с именем "0000", "0001" и т.д.
Их числовое значение определяет порядок загрузки драйверов.

Поскольку существует несколько видов клавиатур (PS2, USB, Bluetooth), приведенная выше запись реестра может быть неправильной в вашем случае. В этом случае просто используйте regedit для поиска "KeyScrambler" или имени его исполняемого файла /dll, и вы должны его найти.