法定输入法真的安全吗？看透输入法安全漏洞

输入法作为每个用户必备的组件，它存在于每部电脑中，并且用户使用的频率极高，因此自然成为很多黑客、木马特别青睐的对象。比如苹果公司就限制第三方输入法进驻iOS系统，主要就是因为输入法极容易有漏洞。那么输入法有哪些常见的漏洞，我们又应该怎么进防范？

小知识：Windows 2000著名输入法漏洞

在Windows 2000登录界面，切换至全拼输入法状态，如果此时选择其中的“帮助”，在新弹出的选项里选择“输入法入门→输入法操作指南→选项”，接着选择“跳至URL”。此时将出现Windows 2000的系统安装路径和要求我们填入的路径的空白栏，输入“C:\Windowsnt\system32”即可跳过密码直接进入系统，这就是著名的Windows 2000输入法漏洞。

因为输入法是每个用户必备的软件，而且是唯一一个可以在系统登录界面被调用的第三方组件，因此很多黑客都在盯着输入法，试图利用其漏洞入侵我们的系统。虽然自Windows 2000输入法漏洞发生后，微软已经在系统进行较为完善的改进。不过除了系统因素外，输入法本身的漏洞还是会给我们带来极大的安全隐患。下面我们以“陈桥智能输入法 6.6版”为例，在Windows 7下演示一下它的漏洞给我们带来的风险。

图9 右击状态栏调用程序漏洞

上述操作在用户锁定界面仍然可以实现，正是这个漏洞会给我们系统带来安全隐患。如果有不怀好意的人将CHENZNWB.EXE替换为其他程序如CMD.exe，这样他就可以在锁定界面进入我们的系统了。

假设我们已经将CMD.exe改名为CHENZNWB.EXE并放置在上述目录，现在在Windows 7锁定界面随便输入几个字符登录，在系统提示用户密码错误时，点击屏幕左上角输入法图标切换到“陈桥输入法”。继续输入任意几个字符调出输入法状态栏，同上右击选择“数据管理”，这样即可在登录界面调出命令提示符界面。由于此时登录的是系统内置的SYSTEM账户，它拥有极高的操作权限，按提示输入下列命令即可添加管理员账户（图10）：

Net user cfan1 123456 /add

net localgroup administrators cfan /add

这样我们即可在当前系统下新增一个名为cfan1的系统管理员账户，返回登录界面即可使用这个账户进入你的系统了。

图10 在锁定界面添加管理员账户

扎好篱笆——保护输入安全

文|俞木发

从前面的文章可以看出，输入法漏洞会给系统带来极大的安全问题。除此之外，很多输入法还爆出其他安全隐患，比如搜狗输入法漏洞会泄漏用户隐私信息，QQ输入法在Windows 8下的提权漏洞，智能ABC输入法漏洞可以可以终止电脑任意进程等。虽然这些漏洞已经被修复，但是谁都不能保证其他输入法还会不会有类似的漏洞，为了保护系统和输入安全，及时解决输入法漏洞带来的危害，我们应该采取如下安全措施。

及时升级输入法

最简单的方法是用好输入法的自动升级功能，这样旧版漏洞可以及时进行修复。比如搜狗输入法，只要进入设置界面切换到“高级”，然后在“升级选项”下设置为“自动升级”即可（图11）。

图11 设置输入法自动升级

尽量使用知名输入法

并且不要轻易将第三方输入法设置为默认输入法。一些小公司的输入法软件不可避免地存在各种漏洞，使用知名公司输入法可以有效避免各种漏洞的存在。此外不要贪图使用方便，将第三方输入法设置为默认输入法，如果使用系统默认设置，在登录界面是无法调用第三方输入法组件的，这样可以杜绝黑客通过输入法漏洞入侵我们系统的通道（图12）。

图12 选择默认的系统内置输入法作为默认语言

关闭不必要的端口

大部分输入法漏洞的攻击都是借助3389这个老生常谈的端口，因此对于那些平时不用的端口，特别是那些危险性较大，又不常用的高危端口，如Telnet服务的23端口、FTP服务的21端口、SMTP服务的25端口、RPC服务的135端口等，建议将其关闭。

使用专用输入法

在网银、淘宝、在线支付输入密码时，尽量使用它们自带的控件和软键盘输入。因为默认情况下，我们在输入账号、密码时，系统是通过输入法管理器调用输入法的转换函数输入字符的。

现在很多木马可以利用键盘钩子捕获Windows键盘动作，从而轻易知道你的账户名和密码。网银的安全控件则可以对键盘钩子进行有效的隔绝，而且软键盘上字母和数字的排列是不规则的，并且每次都会随机进行变化，即使木马捕捉到也是一堆无意义的编码（图13）。

图13 建行网银使用的软键盘

小知识：网银是如何保证输入安全？

1、强制下载安全控件，只有安装控件后密码框才能输入字符，控件能够有效防止黑客及木马病毒等窃取用户输入信息。

2、使用随机排列字符实现字符的输入，即使被木马捕获也不会泄漏实际输入的字符。

3、服务器会实时对客户输入的密码进行增强加密，比如在中国移动网站使用手机登录时，我们输入的密码在提交到服务器验证的过程会被加密，如输入123456，提交后密码框会变为多位的加密字符（图14）。

图14 密码字符在提交过程会被加强加密