使用Wireshark与Python解析USB键盘流量：从数据包到按键的完整实战-拓冰建站

1. 项目概述：从USB数据流到键盘敲击的秘密

如果你对计算机安全、逆向工程或者仅仅是好奇你的键盘敲击在电脑里到底经历了什么感兴趣，那么“分析USB键盘流量”绝对是一个能让你豁然开朗的实战项目。这听起来可能有点黑客范儿，但本质上，它是一次深入理解计算机底层通信协议的绝佳实践。我们每天都在用USB键盘，但很少有人去探究，当我们按下“A”键时，那一串0和1是如何从键盘的微控制器出发，穿过USB线缆，最终被操作系统识别为一个字符的。

这个项目的核心，就是使用网络封包分析领域的“瑞士军刀”——Wireshark，来捕获并解析这些原始的USB通信数据。Wireshark虽然常被用来分析网络流量，但其强大的协议解析能力同样适用于USB接口。我们将捕获键盘与主机之间的原始交互数据，然后像侦探一样，从一堆看似杂乱无章的十六进制字节中，还原出每一次按键和释放的动作。更有趣的是，为了将这个过程自动化，我们还会编写一个完整的Python脚本，它能自动读取Wireshark捕获的数据包文件（.pcapng），并像翻译密码本一样，将数据流实时转换成我们可以读懂的按键序列。

这个教程适合谁呢？如果你是信息安全爱好者，想了解硬件层面的攻击与防御（比如BadUSB攻击的原理）；如果你是嵌入式或物联网开发者，需要调试自定义的USB HID设备；或者你只是一个充满好奇心的极客，想揭开日常技术背后的神秘面纱——那么这个从理论到工具，再到自动化脚本的完整流程，将为你提供一套可直接上手复现的方法论。整个过程不需要昂贵的硬件，只需要一台电脑、一个USB键盘、Wireshark软件和Python环境。接下来，我们就从原理开始，一步步拆解这个有趣的过程。

2. 核心原理与前置知识拆解

在动手抓包之前，我们必须先搞清楚我们要抓的是什么，以及为什么能抓到。这涉及到对USB协议，特别是HID（人机接口设备）协议的基本理解。如果你只关心操作步骤，可以快速浏览本节，但理解这些背景能让你在分析数据时知其然更知其所以然，遇到异常数据包时也能有自己的排查思路。

2.1 USB HID协议与键盘报告描述符

USB键盘属于USB设备大类中的“HID”类。HID设备的通信核心是“报告”。键盘不会每次按下一个键就发送一个字母“A”的ASCII码，而是会定期（例如每1毫秒到10毫秒）向主机发送一个数据结构，这个结构叫做“报告描述符”。报告描述符定义了数据包的格式，而具体每次发送的数据包内容，就是一个“输入报告”。

对于一个标准键盘，它的输入报告通常是一个8字节的数据包。这个结构是固定的：

字节0：修饰键位图。每一位代表一个修饰键（如Ctrl、Shift、Alt、GUI/Win键）是否被按下。例如，左Ctrl键按下对应位0置1。
字节1：保留字节，通常为0。
字节2-7：普通按键码。最多可以同时报告6个普通按键（这就是为什么标准键盘有“6键无冲”的说法）。每个位置存储一个按键的“Usage ID”，这是HID协议定义的一个数值，对应物理按键的位置。例如，键盘上的“A”键的Usage ID是0x04。

这里有一个关键点：报告里传递的是按键的“位置ID”，而不是字符。按下“A”键发送0x04，按下“B”键发送0x05。至于这个0x04最终是显示为小写‘a’、大写‘A’还是其他字符，完全由主机操作系统当前的键盘布局和修饰键状态来决定。我们的分析脚本，核心工作之一就是建立从Usage ID到常见字符的映射字典。

2.2 Wireshark如何捕获USB流量

你可能会有疑问：Wireshark不是抓网络包的吗，怎么能抓到USB总线上的数据？这得益于一个叫做usbpcap的底层驱动或过滤器。当我们安装Wireshark时，通常会附带安装USBPcap组件。它的作用是在Windows系统内核层面，为指定的USB主机控制器安装一个嗅探驱动，将所有经过该控制器的USB请求块数据复制一份，并传递给Wireshark的用户态程序进行处理。

因此，捕获过程需要管理员权限，因为它涉及内核驱动。在Wireshark的捕获接口列表中，你会看到类似“USBPcap1”这样的选项，对应着你电脑上的某一个USB根集线器。选择它，就能开始捕获所有连接到这个集线器上的USB设备流量。这就像在一条USB总线上安装了一个透明的监听器。

注意：开启USB捕获会生成海量数据，因为你的鼠标、键盘、USB耳机等所有设备的数据都会被捕获。因此，我们必须使用捕获过滤器来精确地只抓取目标键盘的数据，否则几秒钟内你的捕获文件就会巨大无比，并且充斥着无关噪音。

3. 实战环境准备与精准捕获配置

工欲善其事，必先利其器。这一部分我们完成所有准备工作，并实现针对目标键盘的精准流量捕获。

3.1 软件安装与检查

首先，确保你安装了正确版本的软件：

Wireshark：从官网下载并安装最新稳定版。在安装过程中，务必勾选“Install USBPcap”组件。这是捕获USB流量的关键。
Python环境：需要Python 3.6及以上版本。我们将使用pyshark和pandas库。pyshark是一个Python封装库，允许我们以编程方式解析pcap文件，它背后调用的依然是Wireshark的解析引擎tshark。安装命令如下：
```
pip install pyshark pandas
```

安装完成后，以管理员身份运行Wireshark。这是必须的，否则USBPcap驱动无法加载，你在接口列表里看不到USB捕获选项。

3.2 识别目标键盘与配置捕获过滤器

这是最关键的一步，目的是在混杂的USB总线中只抓我们关心的键盘数据。

连接键盘并识别端点：将你要分析的USB键盘连接到电脑。在Wireshark的捕获接口列表里，你会看到多个“USBPcap”开头的接口。通常，新插入的设备会产生明显的URB（USB请求块）提交事务，你可以通过插拔键盘来观察哪个接口上有新的URB_SUBMIT事件出现，从而确定键盘所在的接口。记下这个接口编号，比如USBPcap1。
获取键盘的设备地址：更精确的方法是先进行一次短暂（2-3秒）的无过滤捕获。在捕获到的数据中，寻找GET DESCRIPTOR请求，其Device字段会显示一个地址，比如2.4.0。这个地址由三部分组成：总线号.设备号.端点号。对于键盘的输入报告，我们关心的是中断输入端点，通常是端点1（方向为IN）。所以，你的键盘的完整输入端点地址可能类似于2.4.1。这个地址是动态分配的，每次连接可能不同，但一次会话中不变。
设置捕获过滤器：在Wireshark捕获界面的捕获过滤器栏，输入以下格式的过滤器：
```
usb.addr == 2.4.1
```
这个过滤器的含义是：只捕获源地址或目标地址为2.4.1的USB流量。由于键盘是向主机（地址为host）发送数据，所以数据包的源地址是2.4.1，目标地址是host，符合过滤条件。这样就完美过滤掉了同一USB总线上其他所有设备（如鼠标、U盘）的干扰数据。

实操心得：如果你无法确定准确的usb.addr，一个更宽泛但有效的过滤器是usb.transfer_type == 0x01。0x01代表中断传输，而键盘数据正是通过中断传输的。这可能会抓到同一总线上其他HID设备（如鼠标）的数据，但比抓全部流量要好得多。你可以在捕获后，再用显示过滤器usb.src == “2.4.1”进行二次筛选。

3.3 执行捕获与触发按键

配置好过滤器和接口后，点击“开始捕获”。为了获得有分析价值的数据，你需要有计划地触发一些按键。

基础按键：依次按下并释放a,b,c,1,2,3。这有助于我们确认普通按键的映射。
修饰键组合：尝试Shift + a(应输出 ‘A’)，Ctrl + c。这能帮助我们验证修饰键位图字节的解析是否正确。
长按与多键：按住一个键不放，观察是否持续产生数据包。同时按下多个普通键（如a,s,d），看报告中的多个按键槽是如何被填充的。
特殊功能键：按下CapsLock,Enter,Space，观察它们的Usage ID。

输入一段有意义的文本，比如你的邮箱或“Hello, Wireshark!”，然后停止捕获。将捕获到的数据保存为一个.pcapng文件，例如keyboard_trace.pcapng。至此，我们获得了分析的“原材料”。

4. 手动解析Wireshark捕获数据

在让脚本自动化之前，我们最好亲手在Wireshark界面里解析几个包，这能让你对数据结构有最直观的感受，也是后续调试脚本的基础。

4.1 定位与解读键盘输入报告包

在捕获文件中，使用显示过滤器usb.src == “2.4.1” && usb.transfer_type == 0x01来精确定位键盘发出的中断输入数据包。点击一个这样的数据包，在下方协议详情面板中，层层展开：

展开USB URB层：查看Endpoint确认是INTERRUPT IN，Leftover Capture Data字段显示了数据净荷的长度，键盘报告通常是8字节。
展开HID Data层：这是Wireshark解析后的关键层。你会看到类似这样的结构：
```
HID Data (8 bytes) [Destination: Host] [Source: 2.4.1] Leftover Capture Data: 0800000000000000
```
注意这里的Leftover Capture Data就是原始的8字节报告，以十六进制显示。例如0800000000000000。
解读报告字节：
- 字节0 (08)：二进制是00001000。查阅HID使用表可知，位3（从0开始数）对应左GUI键（即Windows键）。这说明这个报告可能是在我按下Win键时捕获的。如果按下Shift，该字节会是02（左Shift）或20（右Shift）。
- 字节1 (00)：保留字节，忽略。
- 字节2 (00)：第一个普通按键槽。如果是00，表示该槽位没有按键。如果按下‘a’键，这里会是0x04。
- 字节3-7 (00 00 00 00 00)：其余五个按键槽。

4.2 分析按键按下与释放序列

USB键盘的协议是状态报告，而不是事件报告。这意味着：

按下按键：当按下一个新键时，该键的Usage ID会出现在报告的一个空闲槽位（字节2-7中第一个为0的位置）中，同时报告被发送。
释放按键：当松开一个键时，该键的Usage ID会从报告槽位中移除（变回0x00），报告再次被发送。
空报告：当没有任何普通键和修饰键被按下时，报告为0000000000000000。

因此，要还原输入过程，你需要按时间顺序追踪一系列报告。比如：

报告1:0000000000000000(空闲状态)
报告2:0204000000000000(字节0=0x02左Shift按下，字节2=0x04 ‘a’键按下)
报告3:0004000000000000(字节0变回0x00，Shift释放，但‘a’键仍按下)
报告4:0000000000000000(‘a’键释放，回归空闲)

这个序列就代表了输入一个大写‘A’的过程：按下Shift -> 按下a -> 释放Shift -> 释放a。操作系统会综合这些状态变化，输出字符‘A’。

5. 编写Python自动化解析脚本

手动分析几个包还行，但面对成百上千个数据包，我们需要自动化工具。下面我们来编写一个功能完整的Python脚本。这个脚本将使用pyshark来读取pcapng文件，解析每个键盘报告，并输出可读的按键序列。

5.1 脚本结构与核心逻辑

脚本的核心工作流程是：加载文件 -> 迭代数据包 -> 过滤USB中断输入包 -> 提取报告字节 -> 解析报告 -> 将状态变化转换为按键事件 -> 输出。

首先，我们定义关键的映射字典。HID Usage ID到字符的映射不是唯一的，它取决于键盘布局。我们这里定义一个适用于最常见US布局的映射。

import pyshark from collections import defaultdict import sys # --- 核心映射字典定义 --- # HID Usage ID 到 字符（无修饰键）的映射 (US Layout) keycode_to_char = { 0x04: ‘a’, 0x05: ‘b’, 0x06: ‘c’, 0x07: ‘d’, 0x08: ‘e’, 0x09: ‘f’, 0x0A: ‘g’, 0x0B: ‘h’, 0x0C: ‘i’, 0x0D: ‘j’, 0x0E: ‘k’, 0x0F: ‘l’, 0x10: ‘m’, 0x11: ‘n’, 0x12: ‘o’, 0x13: ‘p’, 0x14: ‘q’, 0x15: ‘r’, 0x16: ‘s’, 0x17: ‘t’, 0x18: ‘u’, 0x19: ‘v’, 0x1A: ‘w’, 0x1B: ‘x’, 0x1C: ‘y’, 0x1D: ‘z’, 0x1E: ‘1’, 0x1F: ‘2’, 0x20: ‘3’, 0x21: ‘4’, 0x22: ‘5’, 0x23: ‘6’, 0x24: ‘7’, 0x25: ‘8’, 0x26: ‘9’, 0x27: ‘0’, 0x28: ‘\n’, # Enter 0x29: ‘\x1b’, # ESC 0x2A: ‘\b’, # Backspace 0x2B: ‘\t’, # Tab 0x2C: ‘ ‘, # Space # 更多键位可以按需添加，如标点符号、功能键等 } # 修饰键位掩码定义 (报告字节0) MODIFIER_LEFT_CTRL = 0x01 MODIFIER_LEFT_SHIFT = 0x02 MODIFIER_LEFT_ALT = 0x04 MODIFIER_LEFT_GUI = 0x08 # Win键 MODIFIER_RIGHT_CTRL = 0x10 MODIFIER_RIGHT_SHIFT = 0x20 MODIFIER_RIGHT_ALT = 0x40 MODIFIER_RIGHT_GUI = 0x80 # 特殊功能键映射（不直接输出字符，但可打印其名称） special_keys = { 0x39: ‘CapsLock‘, 0x3A: ‘F1‘, 0x3B: ‘F2‘, 0x3C: ‘F3‘, 0x3D: ‘F4‘, # ... 其他功能键 }

5.2 数据包解析与状态跟踪

我们需要一个类或全局状态来跟踪上一次的报告，以便检测出按键的“按下”和“释放”事件。

class KeyboardState: def __init__(self): self.previous_report = [0] * 8 # 存储上一次的8字节报告 self.current_modifiers = 0 # 当前修饰键状态 self.caps_lock_on = False def parse_report(self, report_bytes): """解析8字节报告，返回事件列表""" events = [] if len(report_bytes) < 8: return events # 忽略长度不对的报告 current_modifiers = report_bytes[0] key_codes = report_bytes[2:8] # 普通按键槽 # 1. 处理修饰键变化 modifier_changes = self.current_modifiers ^ current_modifiers if modifier_changes: # 判断每个修饰键是按下还是释放 for mask, key_name in [ (MODIFIER_LEFT_SHIFT, ‘[LShift]‘), (MODIFIER_RIGHT_SHIFT, ‘[RShift]‘), (MODIFIER_LEFT_CTRL, ‘[LCtrl]‘), (MODIFIER_RIGHT_CTRL, ‘[RCtrl]‘), (MODIFIER_LEFT_ALT, ‘[LAlt]‘), (MODIFIER_RIGHT_ALT, ‘[RAlt]‘), (MODIFIER_LEFT_GUI, ‘[LWin]‘), (MODIFIER_RIGHT_GUI, ‘[RWin]‘) ]: if modifier_changes & mask: if current_modifiers & mask: events.append((‘down‘, key_name)) else: events.append((‘up‘, key_name)) self.current_modifiers = current_modifiers # 2. 处理普通按键变化 (简化：比较本次和上次的按键槽) previous_keys = set(self.previous_report[2:8]) current_keys = set(key_codes) # 新按下的键 for key in (current_keys - previous_keys): if key != 0: # 忽略0值槽位 events.append((‘down‘, key)) # 被释放的键 for key in (previous_keys - current_keys): if key != 0: events.append((‘up‘, key)) # 3. 处理CapsLock等切换键（需要特殊处理，因其是触发式） if 0x39 in key_codes and 0x39 not in self.previous_report[2:8]: self.caps_lock_on = not self.caps_lock_on events.append((‘toggle‘, ‘[CapsLock]‘)) # 保存当前报告用于下一次比较 self.previous_report = list(report_bytes) return events

5.3 主循环与输出逻辑

主函数负责读取pcap文件，应用显示过滤器，并将解析出的事件转换为可读输出。

def main(pcapng_file): print(f“[*] 开始解析捕获文件: {pcapng_file}“) print(“[*] 只过滤USB中断输入包 (usb.transfer_type == 0x01)“) # 使用pyshark读取文件，应用BPF过滤器提高效率 cap = pyshark.FileCapture( pcapng_file, display_filter=‘usb.transfer_type == 0x01‘, # 关键：只读中断传输包 use_json=True, include_raw=True ) state = KeyboardState() output_text = [] try: for pkt in cap: # 确保是USB包且有HID数据 if hasattr(pkt, ‘usb‘) and hasattr(pkt.usb, ‘hid_data‘): # 从HID Data层获取原始载荷 # pyshark的字段名可能是 ‘usbhid.data‘ 或 ‘hid.data‘，取决于版本 raw_data_field = None for field in [‘usbhid.data‘, ‘hid.data‘, ‘usb.hid_data‘]: if hasattr(pkt.usb, field): raw_data_field = getattr(pkt.usb, field) break if raw_data_field: # 字段值可能是十六进制字符串，如 ‘0800000000000000‘ hex_str = raw_data_field.replace(‘:‘, ‘‘).replace(‘ ‘, ‘‘) if len(hex_str) >= 16: # 至少8字节 try: report_bytes = bytes.fromhex(hex_str[:16]) # 取前8字节 events = state.parse_report(report_bytes) for event_type, key in events: if event_type == ‘down‘: # 判断输出字符 char_to_output = None if isinstance(key, int): # 普通按键 if key in keycode_to_char: base_char = keycode_to_char[key] # 应用Shift和CapsLock逻辑 (简化版) if state.current_modifiers & (MODIFIER_LEFT_SHIFT | MODIFIER_RIGHT_SHIFT): char_to_output = base_char.upper() if base_char.isalpha() else base_char # 简单处理，实际需查Shift映射表 elif state.caps_lock_on and base_char.isalpha(): char_to_output = base_char.upper() else: char_to_output = base_char elif key in special_keys: char_to_output = f‘[{special_keys[key]}]‘ else: char_to_output = f‘[Key:0x{key:02X}]‘ else: # 修饰键名，如 [LShift] char_to_output = key if char_to_output: output_text.append(char_to_output) # 实时打印到控制台 print(char_to_output, end=‘‘, flush=True) except ValueError as e: # 忽略十六进制解析错误 pass except KeyboardInterrupt: print(“\n[*] 用户中断解析。“) finally: cap.close() print(f“\n\n[*] 解析完成。最终输出文本：”) print(‘’.join(output_text)) if __name__ == ‘__main__‘: if len(sys.argv) != 2: print(“用法: python usb_keyboard_parser.py <path_to_pcapng_file>“) sys.exit(1) main(sys.argv[1])

这个脚本已经具备了核心功能。运行它，指定你捕获的pcapng文件路径，它就会在控制台模拟输出捕获到的按键序列。

6. 脚本优化与高级解析技巧

基础的脚本能工作，但在实际应用中可能会遇到各种边界情况。下面分享几个优化点和高级技巧，让你的解析器更健壮、更实用。

6.1 处理复杂按键与布局映射

我们之前的映射字典非常基础。现实中需要处理更多情况：

Shift组合键：数字键上的符号（如!@#$%^&*()）和标点符号，在按下Shift时输出不同的字符。你需要一个shifted_keymap字典。

shifted_keymap = { 0x1E: ‘!‘, # 键‘1‘ + Shift -> ‘!‘ 0x1F: ‘@‘, # 键‘2‘ + Shift -> ‘@‘ 0x20: ‘#‘, 0x21: ‘$‘, 0x22: ‘%‘, 0x23: ‘^‘, 0x24: ‘&‘, 0x25: ‘*‘, 0x26: ‘(‘, 0x27: ‘)‘, 0x2D: ‘_‘, # - -> _ 0x2E: ‘+‘, # = -> + # ... 更多映射 }

在输出逻辑中，如果检测到Shift按下，优先查询shifted_keymap。

国际键盘布局：上述映射仅适用于US布局。对于AZERTY、QWERTZ等布局，你需要替换整个keycode_to_char映射字典。一个更专业的做法是将布局定义放在外部配置文件中。
媒体键与系统键：很多键盘有音量调节、播放暂停等键。这些键通常有独立的Usage Page和Usage ID，不在我们定义的普通键盘页面（0x07）里。你需要在解析时检查Usage Page，并扩展你的映射字典来处理它们。

6.2 提高解析性能与准确性

使用tshark直接输出JSON：pyshark在解析大文件时可能较慢，因为它需要启动子进程并解析XML。一个更高效的方法是直接使用Wireshark的命令行工具tshark，并将其输出解析为JSON。

import subprocess, json command = [ ‘tshark‘, ‘-r‘, pcapng_file, ‘-Y‘, ‘usb.transfer_type == 0x01‘, # 显示过滤器 ‘-T‘, ‘json‘, ‘-e‘, ‘frame.time_epoch‘, ‘-e‘, ‘usb.src‘, ‘-e‘, ‘usb.dst‘, ‘-e‘, ‘usbhid.data‘ ] result = subprocess.run(command, capture_output=True, text=True) packets = json.loads(result.stdout) # 然后遍历packets列表，提取‘usbhid.data‘字段

这种方法速度更快，且对字段的访问更直接。

处理数据包乱序与丢包： USB是可靠传输，但在捕获层面，极少数情况下数据包可能因缓冲等问题顺序错乱。更健壮的状态机应该基于数据包的时间戳（frame.time_epoch）进行排序，而不是依赖捕获文件的顺序。
验证报告长度：不是所有HID设备的报告都是8字节。在脚本开头，可以检查前几个有效报告的长度，动态确定报告长度，而不是硬编码为8。

6.3 可视化与高级输出

除了输出文本，你还可以将解析结果进行可视化：

时间线图：利用数据包的时间戳，绘制每个按键按下和释放的时间点，可以直观看到输入节奏和间隔，这在侧信道分析中很有用。
热力图：统计各个按键的使用频率，生成一张键盘热力图。
会话还原：将输出保存为文件，并附上时间戳，形成一个可搜索的“输入日志”。

7. 常见问题排查与实战心得

在实际操作中，你几乎一定会遇到下面这些问题。这里我把踩过的坑和解决方案总结出来，希望能帮你节省大量调试时间。

7.1 捕获不到任何数据包

症状： Wireshark的USBPcap接口列表是空的或灰色的。
排查：
1. 权限问题：必须使用管理员身份运行Wireshark。
2. 驱动未安装：重新运行Wireshark安装程序，确保勾选了USBPcap。安装后可能需要重启电脑。
3. 系统安全策略：某些企业环境或安全软件可能阻止安装未经签名的内核驱动。检查系统事件查看器是否有驱动加载错误。

7.2 捕获到海量无关数据包

症状：开始捕获后，数据包列表飞速滚动，瞬间产生数万个包，其中大部分不是键盘的。
解决：
1. 务必使用捕获过滤器：在开始捕获前，在输入框设置usb.addr == x.x.x或usb.transfer_type == 0x01。这是最有效的过滤手段，数据在进入捕获缓冲区前就被丢弃了。
2. 确认设备地址：通过插拔设备观察Device地址的变化，确保过滤器中的地址准确。

7.3 Python脚本无法解析或输出乱码

症状：脚本运行不报错，但输出的字符全是乱码或根本不是按下的键。
排查步骤：
1. 检查原始数据：在Wireshark中手动查看几个你知道对应按键的数据包。记下你按下‘a’键时，HID Data层的8字节十六进制值。确保你的脚本读取到的字节序列与之完全一致。
2. 验证映射字典：确认你按下的键的Usage ID是否在你的keycode_to_char字典中。标准‘a’键是0x04。如果字典里是0x1E，那输出肯定是‘1’。
3. 检查修饰键逻辑：单独按下‘a’输出‘a’，但按下‘Shift+a’却输出‘A’了吗？如果没有，检查current_modifiers的更新逻辑和shifted_keymap的应用逻辑。
4. 调试状态机：在parse_report函数中加入打印语句，输出每次的report_bytes、current_modifiers和计算出的events，与Wireshark中的包顺序对比，看状态跟踪是否准确。

7.4 如何处理同时按下的多个键

我们的基础脚本通过比较集合差集来处理按键按下和释放，这能正确处理大多数情况。但对于非常快速的滚按或特定的游戏按键序列（如“左右左”快速交替），可能会因为报告采样率的问题，丢失中间状态。一个更精确但复杂的方法是维护一个“当前按下键的集合”，完全根据每个报告来更新这个集合：报告里有的键就是被按下的，报告里没有的就是被释放的。这要求主机每次报告都准确反映了所有键的状态，而标准USB键盘协议正是这样设计的。

7.5 安全与隐私考量

最后必须强调一点：这个技术是一把双刃剑。

防御视角：理解它是为了防范“键盘记录器”这种恶意硬件或软件。一些高级的BadUSB设备可以伪装成键盘，直接向系统注入按键序列。通过监控异常的USB HID设备连接和流量，可以起到一定的检测作用。
攻击视角：它本身就是一个软件键盘记录器的原理演示。因此，请仅在你拥有完全所有权和控制权的设备上进行此实验，切勿用于监控他人的输入，这在绝大多数地区都是非法的。
实操建议：在虚拟机中进行捕获和分析是更安全、更干净的选择。你可以将USB键盘直接传递给虚拟机，然后在虚拟机内进行捕获，这样宿主机系统的其他USB流量不会造成干扰。