Linux用户行为记录器的一种内核级实现方法  

Implementation of Users'Behavior Recorder in Linux Kernel

作　　者：阮越[1] 

机构地区：[1]安徽工业大学计算机学院,安徽马鞍山243002

出　　处：《计算机技术与发展》2008年第2期152-155,共4页Computer Technology and Development

基　　金：安徽省自然科学研究项目(2006KJ063B);安徽省高等学校青年教师科研资助项目(2007jq1028)

摘　　要：用户登录后敲击键盘的行为记录是判断用户是否有恶意行为以及安全审计的重要信息来源。基于Linux,通过使用内核函数劫持技术劫持并修改键盘输入的相关内核函数,同时利用可装载内核模块技术将修改后的内核函数作为可装载模块插入内核,实现了一个内核级的行为记录器。这种实现方法可以记录本地用户以及远程用户所有敲击键盘的行为,包括ctrl,alt,shift等特殊键码,利用键盘映射码表转换成标准的ASCII码格式输出到日志文件中。The behavior records which are generated by users knocking on the keybord after users, login can be used to judge users＇ malicious act and is aLso one of the important sources of system auditing information. A Linux kernel - based behavior recorder is implemented in this paper,which has adopted kernel function hijacking technique to hijack and modify kernel functions and also utilized loadable kernel module technique to insert modified functions into kernel. All the keyboard records which are generated by local users and remote users, ineluding some .special key codes,such as ctrl,alt,shift,can be noted down by this method. And then the records which are converted to ASCII codes by key map output into a log file.

关 键 词：内核函数劫持 可装载内核模块 行为记录器 

分 类 号：TP316[自动化与计算机技术—计算机软件与理论]