二十年前盗号木马猖獗，只需要记录键盘输入就可以轻松搞到密码，对抗方法是软键盘，记得当年qq就有这种功能。

对抗软键盘的方法是鼠标位置记录，可以通过鼠标移动的相对位置推测密码，对抗方法是乱序软键盘，当年的网易梦幻西游就是这么干的。

对抗乱序软键盘的方法也有，我在黑客x档案上看到过，那就是在点击鼠标时截图。似乎有个对抗方法是在点击的瞬间让软键盘上的字符全部消失，截图只能看见空白键盘。（那个时代录屏非常困难，因为电脑速度太慢了，会产生各种异常现象）

之后的攻防我就不清楚了，因为网易祭出了绝招——将军令，也就是动态口令，这一招到现在还管用。

在手机上盗号原理是一样的，记录键盘输入+截图。

不过安卓软件有权禁止截图录屏，现在大多数网银都这么干。绕过截图限制的高权限也可以检测出来，比如支付宝能检出USB调试，一些网银会拒绝在root环境下运行。

唯有第三方键盘输入防不胜防，因为大多数输入法会上传你的输入内容。他们反复强调这是安全的，但总会被抓到漏洞。自带安全键盘是一种成本低效率高的优秀解决方案。

当然，最终转账时还是靠动态口令把关。

又及，乱序键盘还意外对抗了一种曾经问题不大，但逐渐成为问题的盗号方式：偷窥盗号。

偷窥盗号，就是站在你身后看你输入了什么。现在到处都是摄像头，已经不需要真人站在你的身后偷窥了，截取一段录像反复分析你的动作也不是问题，防不胜防。

有趣的是，当年乱序软键盘其实不能防偷窥，毕竟屏幕那么大，现在屏幕变小反而有了奇效。

不过软硬件工程师再怎么努力，也防不了降维打击，那就是网络诈骗，但这可能也说明了一个问题：在大家的努力下，传统盗号方式的效率降低了，才使得诈骗问题成为人们关注的焦点。

题主这种“没出事凭什么管我，出了事凭什么不管我”的巨婴思维，才是真正的大病，可惜社会太温柔，没把你淘汰掉。

该系统向网吧收费使用，而此前网吧广泛免费使用的美萍、万象，无此类低级漏洞。而由于强制推广，高度统一，我一时间在各网吧畅行无阻。

毕业后在公安部门做协警，各类内部平台、工具，bug漏洞一大堆，基于签过保密协议就不详谈了。

本地的市民投诉平台，市民热线，有个网站可供实名查询自己的投诉记录，有姓名、通话时间、投诉内容、被投诉单位、该单位反馈等各种信息。我初次使用就发现该网站的手机短信验证码登陆界面形同虚设，无鉴权过程。提交验证码，仅用于控制浏览器的url地址跳转。直接手动输入该url地址，可查看全部投诉记录。在url中写入别人的手机号，更是可以任意查看其他人的投诉记录。

疫情时强制要求使用本省统一的网络平台登记学生的学校、班级、姓名、上下学时间、乘坐的交通工具、家庭住址。但鉴权的过程仅仅是输入学生的身份证号码，无需输入任何其他信息。我立马发现问题，尝试写了个脚本，通过穷举身份证号，爆破出了几千名孩子的这些信息。这简直极大的方便了人贩子，我打电话给责任单位，要求封堵该漏洞，但到疫情结束也未封堵。

到现在为止，我依然是个安全领域的纯外行，即便如此，我依然觉得权力部门强制推广的网络设施往往安全性跟纸糊的一样。那么在专业黑客眼里，问题肯定要比这严重百倍。

还有一种情况，那就是国内这些部门喜欢重复造轮子、闭门造车。业界或者国外，已有更为成熟可靠的安全方案时，直接另行采购一套国产的，且过程中不去调查已有方案，不考察人家踩过的坑，非要把人家多年前早已走过的弯路，现在再走一遍。

基于软件的OTP、TOTP双因素认证方案，才是综合考虑了便捷、安全的最优解。而国内普遍采用短信作为双因素认证方案，又慢又不稳定。

安全键盘、乱序键盘，在我眼里纯属无用功，和普通键盘没有任何区别。因为黑客根本不会去监听键盘，而是直接监听文本框或http数据。它根本防不住黑客，只能防站在你身后人肉偷窥，但由于全新的陌生键盘布局，让你的输入速度大降，反而可能提高了被偷窥的风险。

还有，我很少在键盘输入密码，都是使用密码管理工具，生成随机密码之后，用这些工具来代为输入。但这种设计往往会妨碍这类工具的使用。

所以这种设计，对安全性的下限的提高非常有限，但对安全性的上限，却做了很大的限制。我不反对它的存在，但反对它的强制使用。任何使用所谓安全键盘的app，都应该允许用户在设置中对其关闭，改为采用更为可靠的专业密码管理工具。

你好，依据中国人民银行发布的推荐性金融标准《移动金融客户端应用软件安全管理规范》（JR/T 0092-2019）5.1.2.1节中关于安全输入的内容，移动金融客户端应当防范键盘窃听、使用自定义软键盘。

全文请参阅：行业标准信息服务平台

该项功能提供的防护能力包括但不限于以下场景：

1：用户手机自带的输入法键盘无法调起，导致用户无法输入密码，使用软件自带的软键盘可以降低适配压力，降低此类风险。

2：用户手机默认输入法被恶意软件劫持，导致用户输入的内容全部泄露，使用自定义键盘不会调用系统默认输入法，可以极大幅度降低此类风险。

3：随机打乱键盘顺序后，犯罪者无法通过仅观察用户手指动作就获取到用户密码，必须要看到屏幕内容，从而降低用户受到的风险。