底層tty驅動調用receive_buf()這個函數用來發送硬件設備接收處理的字符。參見/usr/src/linux/drivers/char/n_tty.c:

static void n_tty_receive_buf(struct tty_struct *tty, const

unsigned char *cp, char *fp, int count)

參數cp是一個指向設備接收的輸入字符的buffer的指針。參數fp是一個指向一個標記字節指針的指針。在具體的實現中，先保存原始的tty receive_buf()函數，然后重置ldisc.receive_buf到自定義的new_receive_buf()函數來記錄用戶的輸入。

例如:要記錄在終端tty1設備上的輸入。

int fd = open(/dev/tty1, O_RDONLY, 0);

struct file *file = fget(fd);

struct tty_struct *tty = file->private_data;

//保存原始的receive_buf()函數

old_receive_buf = tty->ldisc.receive_buf;

//替換成新的new_receive_buf函數

tty->ldisc.receive_buf = new_receive_buf;

//新的new_receive_buf函數

void new_receive_buf(struct tty_struct *tty, const unsigned char *cp, char *fp, int count)

{

logging(tty, cp, count);

//紀錄用戶擊鍵

/* 調用回原來的receive_buf */

(*old_receive_buf)(tty, cp, fp, count);

}

4.4 tty_read函數

當一個進程需要通過sys_read()函數來讀取一個tty終端的輸入字符時，tty_read函數就會被調用。參見文件/usr/src/linux/drives/char/tty_io.c:

static ssize_t tty_read(struct file * file, char * buf, size_t count,

loff_t *ppos)

5 結束語

目前，利用勾子函數實現基于Linux內核的鍵盤模擬的這種方法使用非常靈活，同時也可以跨平臺進行移植，可通過tty和pts來記錄下本地和遠程會話的所有擊鍵動作，并且也支持一些特殊的按鍵。當然，要使鍵盤模擬更靈活，下一步還需要更多的改進，例如增加多種不同日志記錄模式的支持等。

更多計算機與外設信息請關注：21ic計算機與外設頻道