保险柜的 挂钩 建议@@@
1、 安全输入
挂钩NtUserSendInput、NtUserGetAsyncKeyState、NtUserOpenDesktop、NtUserTranslateMessage
分别用于防止模拟按键、获取键盘按键状态、打开安全桌面、将虚假按键还原成真实的按键。
在Windows操作系统中，消息钩子（通过SetWindowsHookEx设置）只会当前的桌面上的窗口有效，所以，可以建立一个安全桌面，用于运行需要严密保护的进程.这样，非本桌面上运行的程序无法通过消息钩子的方式来获取需要保护进程窗口的信息，达到了保护目标进程窗口的目的
360保险箱和金山密保都有一个叫安全桌面的功能，正是这样实现的。首先调用真实的NtUserOpenDesktop函数，然后获取返回句柄的桌面名字，如果此桌面名字跟创建的安全桌面名字一样，则关闭此桌面句柄，并返回一个NULL值，否则返回真实的句柄。达到保护安全桌面的目的，真正做到安全桌面不可渗透。在输入密码的时候，用户程序一般调用TranslateMessage将消息转化为具体的按键信息，利用此特点，可以构建一个DirectInput安全输入通道，即尽可能少的通过Windows系统的键盘按键传输通道（此通道是极度危险的，恶意程序可以在任意位置添加HOOK截获按键信息）。
对NtUserTranslateMessage的挂钩用于修正虚拟键盘输入的虚拟按键，首先需要判断是否正在输入密码，虚拟键盘是否正在运行，是否需要修正按键，这三个参数都是运行于R3的控制程序传递进来给R0驱动的。然后判断消息是否是键盘按键的消息，如果是，则进一步判断此消息是否对应虚假按键，如果是，则修正为真实的按键。虚假的按键和真实的按键也是R3传递给R0驱动的。整个输入通道完全自己构建，不通过Windows系统提供的任何通道，所有的类型的HOOK都无法在此期间截获虚拟键盘输入的密码（很多安全软件提供的虚拟键盘的思路大致如此吧，没有去仔细调研）。
2、 截屏保护
很多截屏类的键盘记录程序。当用户在虚拟键盘上按下一个键时，恶意程序就截一次屏幕，这样可以清楚地看到用户输入的密码信息。挂钩两个函数NtGdiBitBlt、NtGdiStretchBlt可以用于防截屏。
卡巴斯基反病毒软件率先推出截屏保护，即当虚拟键盘运行的时候，阻止程序进行截屏操作，在一定程度上可以阻止此类键盘记录工具的工作。但是卡巴斯基有一个很大的缺陷，它只能阻止全屏的截图，不能阻止部分屏幕的截图。
用户系统信息：Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US) AppleWebKit/534.3 (KHTML, like Gecko) Chrome/6.0.472.33 Safari/534.3 SE 2.X MetaSr 1.0
