Linux用户行为记录器一种内核级实现方法.pdfVIP

维普资讯 笫 I8卷 ：期 计 算 机 技 术 与 发 展 V ．I8 (1．2 21~)8年2J】 C(^n,t门r R TTCFIN()1』X；Y AND DE＼rI』)IMENT Feb． 21t08 Linux用户行为记录器的一种 内核级实现方法 阮 越 (安徽工业大学 计算机学院，安徽 马鞍 山 243002) 摘 要：用户登录后敲击键盘的行为记录是判断用户是否有恶意行为以及安全审计的重要信息来源。基于LinLI)c，通过使 用内核函数劫持技术劫持并修改键盘输入的相关内核函数．同时利用可装载内核模块技术将修改后的内核函数作为可装 载模块插入内核，实现了一个内核级的行为记录器。这种实现方法可以记录本地用户以及远程用户所有敲击键盘的行 为，包括ctrl，ah，shift等特殊键码．利用键盘映射码表转换成标准的ASCII码格式输出到日志文件中。 关键词 ：内核函数劫持；可装载内核模块；行为记录器 中图分类号：1]P3l6 文献标识码：A 文章编号：1673—629X(2008)02—0152～O4 ImplementationofUsers’BehaviorRecorderinLinuxKernel RUAN Yue (SchO)【lofComputerSdence，AnhuiUniversityofTechnokgy，Ma’anshan243002，China) Abstract：lqlebehaviorrecordswhicharegeneratedbyus目 knockingonthekeybordafteruSers，IoglncanbeusedtojudgeUSerS’mali— ciousactandisalsoorleoftheimportant∞urcesofsystem auditinginformation．A Linuxkernel～basedbehaviorrecorderisimplemented inthispaper。whichhasadoptde kernelfunctionhijacking techniquet()hijacknadrnodifykernelfunotionsnadalm utilizedloadablekernel moduletechnktuetoinsertmc~lifide functionsintokernel、Allthekeyboardrecordswhichalegeneratde bylocalusersandremoteusers．in- cluding 8otlnethoecialkeycodes，suchasctrl，alt，shift，Cna benotde downbythismethod．And thentherecordswhichareconvertde to AScIIc0d bykeymapoutputintoalogfile。 Keywords：kernelfunctionhijacking ；Ioadablekemelrnodu]e；behaviorrecorder O 引 言 chitecture)而实现的，为了获得微内核体系结构 (Mi— 随着 Intemet的发展，网络安全已经成为人们越 crokemelarchitecture)带来 的可扩展性和可维护性 ， 来越关注的目标。如何及时发现用户的恶意行为是安 Linux引入 了可装载内核模块机制 (LKM，Loadable 全防范的第一步。用户登录后敲击键盘的动作真实记 KernelModule)，