凌晨两点，盗号我盯着屏幕上的木马十六进制转储，光标在最后一行闪了又闪。制作这个盗号木马的教程核心逻辑其实只有三行代码——把键盘输入记录进日志文件，定时通过HTTP POST发送到指定服务器，盗号然后自我删除。木马没别的制作了。你看到的教程那些“高科技”外衣，什么进程注入、盗号Rootkit隐藏，木马全是制作唬人的把戏。

先别急着骂我教唆犯罪。教程写这个教程是盗号因为我发现网上流传的所谓“盗号教程”九成是过时的垃圾，连最基本的木马SendMessage钩子都写不对。剩下的制作那一成，要么是钓鱼网站骗点击，要么就是挂着羊头卖狗的捆绑木马。真要搞明白这玩意儿怎么运作，不如自己动手拆解一遍。防御的前提是理解，这话我都说腻了。

第一步，获取键盘输入。Windows系统里有个古老的机制叫SetWindowsHookEx，能让你监听全局键盘事件。别被名字吓到，它就是个回调函数注册表。你写个DLL，导出两个函数：一个处理WM_KEYDOWN消息，把按键虚拟码转成字符存进缓冲区；另一个负责把缓冲区的内容追加写到C:\ProgramData\某个不起眼的.dat文件里。注意别用记事本打开那个文件——编码格式会暴露你。

第二步，解决数据外传。最蠢的做法是每敲几个键就发一次网络请求，那等于在自己家房顶竖了根天线喊“我在这儿呢”。聪明点的做法是攒够一定量，比如500字节，再通过WinINet API伪装成正常的浏览器流量发出去。目标服务器可以是个看似普通的图片托管站，把数据伪装成图片请求的URL参数。我见过最绝的案例，是把数据拆成三段，分别伪装成CSS、JS和favicon的请求，服务器端再拼起来。

第三步，清理痕迹。木马启动时给自己复制一份到%AppData%\Microsoft\某个随机命名的exe，然后修改注册表Run键实现开机自启。等到数据发送成功后，主程序用cmd /c del自身路径这条命令自杀，只留下那个伪装成系统更新组件的子进程继续潜伏。整个过程不超过200行C代码，编译出来体积小于30KB。

但说实话，这玩意儿现在越来越难混了。Windows Defender的云查杀能在你编译完的瞬间就标记恶意行为，更别提那些带机器学习的行为分析引擎。我去年测试过，一个没做任何免杀处理的样本，存活时间平均不到47分钟。所以真正专业的盗号团伙早就不玩键盘钩子了，他们直接往浏览器内核里塞恶意扩展，或者干脆伪造登录页面搞钓鱼。

写到这里我自己都觉得讽刺——花力气研究这些的人，大概率偷来的账号连买包烟钱都不够。而真正有价值的，其实是理解这套攻防逻辑后，你能在自己的软件里加上相应的防护。比如检测异常键盘钩子、监控注册表Run键的写入、对敏感操作做二次验证。我认识的安全工程师里，一半以上都写过木马，区别在于他们最后把代码交给了厂商而不是暗网。

最后说句掏心窝的话：如果你真对技术感兴趣，去读读《Windows核心编程》比研究这个有用得多。键盘钩子那套东西，早就是明日黄花了。现在连游戏都强制开启内核级反作弊，你还搁这琢磨用户态钩子呢？