Le but du keylogger est de s'introduire entre la frappe au clavier et l'apparition du caractère à l'écran. Cette opération peut se faire par l'insertion d'un dispositif dans le clavier, par une observation vidéo, sur le câble, par l'interception des requêtes d'entrée et de sortie, le remplacement du pilote du clavier, un filtre dans la mémoire tampon du clavier, l'interception de la fonction dans le noyau par n'importe quel moyen (remplacement des adresses dans les tableaux système, détournement du code de la fonction), l'interception de la fonction DLL dans le mode utilisateur, ou une requête au clavier à l'aide de méthodes standard documentées.
