Linux 抓USB包

63 阅读 0 评论 42 点赞

我是靠谱客的博主凶狠画板，最近开发中收集的这篇文章主要介绍Linux 抓USB包，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

在windows上有不少抓取USB包的工具，但有种情况程序是基于linux开发的，所以。

这里内核的一个工具usbmon 和 tcpdump，这里在Ubutu下测试，其他嵌入式设备并没有测试，相信只要内核支持了问题就不大。

1. 配置内核

Device Driver ---->

[*] USB support --->

<M> USB Monitor

2.加载模块

modprobe usbmon 后者 sudo insmod 路径/usbmon.ko

mount -t debugfs none_debugs /sys/kernel/debug

检查是否存在目录 /sys/kernel/debug/usb/usbmon

ls /sys/kernel/debug/usb/usbmon

0s 0u 1s 1t 1u 2s 2t 2u 3s 3t 3u

如果总线号是1，则是1u，如果总线号是2，则是2u，依次类推。特殊情况是0u表示监听所有的

lsusb 确认需要监听的usb设备的pid 和vid

cat /sys/kernel/debug/usb/devices

# cat /sys/kernel/debug/usb/devices 确定你要监视的usb设备所在总线号和设备号
# 选择包含有 : Vendor=148f ProdID=5370 Rev= 1.01 的段落
# as follows:
# T: Bus=01Lev=01 Prnt=01 Port=00 Cnt=01 Dev#= 2 Spd=480 MxCh= 0
# D: Ver= 2.00 Cls=00(>ifc ) Sub=00 Prot=00 MxPS=64 #Cfgs= 1
# P: Vendor=148f ProdID=5370 Rev= 1.01
# S: Manufacturer=Ralink
# S: Product=802.11 n WLAN
# S: SerialNumber=1.0
# C:* #Ifs= 1 Cfg#= 1 Atr=80 MxPwr=450mA
# I:* If#= 0 Alt= 0 #EPs= 5 Cls=ff(vend.) Sub=ff Prot=ff Driver=rtusbSTA
# E: Ad=81(I) Atr=02(Bulk) MxPS= 512 Ivl=0ms
# E: Ad=01(O) Atr=02(Bulk) MxPS= 512 Ivl=0ms
# E: Ad=02(O) Atr=02(Bulk) MxPS= 512 Ivl=0ms
# E: Ad=03(O) Atr=02(Bulk) MxPS= 512 Ivl=0ms
# E: Ad=04(O) Atr=02(Bulk) MxPS= 512 Ivl=0ms
# 可以从第一行看到 Bus= 01,设备号是2

根据pid vid 得知 bus 和设备号，从而知道是1u 或者其他的文件

抓包：

cat /sys/kernel/debug/usb/usbmon/2u > ./log.txt

这里需要注意，由于我们的这个抓包命令，只能指定是抓哪个总线上，但同一个总线通常会有很多usb设备的，
如果我们只是关注特定的某个usb设备的话，我自己就需要留意设备地址字段，通过这个字段，我们就可以区分这个传输是不是我们要监听的设备发送出来的。

还有一个tcpdump 工具抓出来的包可以结合wireshark 工具来查看

下载tcpdump工具,

wireshark ,如果嵌入式设备不方面弄这个程序，可以在宿主机上装wireshark

tcpdump -D
1.usbmon1 (USB bus number 1)
2.usbmon2 (USB bus number 2)
3.eth4
4.any (Pseudo-device that captures on all interfaces)
5.lo

我们这里抓取usb2

tcpdump -i usbmon2 -w /data/usblog.pcap &

killall tcpdump

wireshark usblog.pcap