使用 usbmon 抓取 usb 总线上的数据

usbmon 即 usb monitor，是 linux 内置的 usb 抓包工具。usbmon 本质是一个内核模块，在我的 ubuntu14.0 4中，模块的位置：/lib/modules/4.4.0-31-generic/kernel/drivers/usb/mon/usbmon.ko。

1、检测内核是否支持 debugfs 文件系统

　　linux 系统支持很多类型的文件系统，像 ext3、sysfs、ramfs、tmpfs等文件系统，首先检测内核是否支持 debugfs 文件系统。

2、挂载 debugfs 文件系统

　　执行 sudo mount -t debugfs none_debugs /sys/kernel/debug 命令，如果提示已经挂载，则下次抓包就无需运行该命令了，表示系统默认会挂载该文件系统。

　　如上图所示，我的 ubuntu 系统默认已经挂载了 debugfs 文件系统，无需再去手动挂载。

3、确认内核支持 usbmon 模块

　　如上图所示，目前内核不支持 usbmon 模块，需要手动安装 usbmon 模块。

4、安装 usbmon 模块

　　执行 modprobe usbmon 命令，可以看到系统成功安装了 usbmon 这个模块。

　　这里的原理是，usbmon是一个模块，使用 modprobe 安装该模块后，该模块内部调用 debugfs 相关的API，这样在 /sys/kernel/debug/usb 目录下便形成了 usbmon 这个目录。

　查看 /sys/kernel/debug/usb/usbmon 目录，发现该目录下有以下内容：0s、0u、1s、1t、1u、2s、2t、2u，其中1代表 bus1，2代表 bus2，0代表所有 usb 总线。

5、监测 usb 总线上的数据

　　首先需要获取想要监测的设备所在的总线以及设备号。linux 中查看USB设备列表以及USB设备详细信息的两种方法：

　　方法1：执行 lsusb 命令

　lsusb命令参数

　　-v：显示usb设备的详细信息
　　-t：以树状结构显示usb设备的层次
　　-s<总线:设备号>：仅显示指定的总线或设备号的设备
　　-d<厂商:产品>：仅显示指定厂商和产品编号的设备

　　方法2：cat /sys/kernel/debug/usb/devices

　　然后就可以根据上面的结果，查看 usb 总线上的数据。

　　cat /sys/kernel/debug/usb/usbmon/1u | grep "1:005" // 其中的1:005是根据第4步中确认的，分配给模块的设备号

　　执行该命令，就可以查看模块所挂载的usb总线上的数据传输。

　　关于该命令输出的数据所代表的含义，参考我的下一篇博文：详解 usbmon 抓取的 log 各字段的含义