我知道过去有一个关于此的问题,但我没有找到解决方案。
我正在编写下一个内核模块以跟踪do_exec
次调用。 AFAIK应该像这样加载每个新的过程映像(而不是创建),所以我想我可以使用这个jprobe
追踪所有执行。
不幸的是,这个jprobe
的唯一输出是:
execve called /usr/lib/systemd/systemd-cgroups-agent by kworker/u8:3
我的模块代码如下:
#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/kprobes.h>
#include <linux/fs.h>
static long jdo_execve(struct filename *filename,
const char __user *const __user __argv,
const char __user *const __user __envp)
{
const char *name = filename->name;
printk("execve called %s by %s\n", name, current->comm);
jprobe_return();
return 0;
}
static struct jprobe execve_jprobe = {
.entry = jdo_execve,
.kp = {
.symbol_name = "do_execve",
},
};
static int __init jprobe_init(void)
{
int ret;
ret = register_jprobe(&execve_jprobe);
if (ret < 0) {
printk(KERN_INFO "register_jprobe failed, returned %d\n", ret);
return -1;
}
return 0;
}
static void __exit jprobe_exit(void)
{
unregister_jprobe(&execve_jprobe);
printk(KERN_INFO "jprobe at %p unregistered\n", write_jprobe.kp.addr);
}
module_init(jprobe_init)
module_exit(jprobe_exit)
MODULE_LICENSE("GPL");
我使用的是CentOS 7,内核版本为3.10.0-514.el7.x86_64
感谢任何帮助!
答案 0 :(得分:0)
手头的代码是:
SYSCALL_DEFINE3(execve,
const char __user *, filename,
const char __user *const __user *, argv,
const char __user *const __user *, envp)
{
return do_execve(getname(filename), argv, envp);
}
和
int do_execve(struct filename *filename,
const char __user *const __user *__argv,
const char __user *const __user *__envp)
{
struct user_arg_ptr argv = { .ptr.native = __argv };
struct user_arg_ptr envp = { .ptr.native = __envp };
return do_execve_common(filename, argv, envp);
}
鉴于函数有多短,第一个明显的怀疑是它在execve入口点内联。拆解证实了怀疑:
0xffffffff811e6e20 <sys_execve>: nopl 0x0(%rax,%rax,1) [FTRACE NOP]
0xffffffff811e6e25 <sys_execve+0x5>: push %rbp
0xffffffff811e6e26 <sys_execve+0x6>: mov %rsp,%rbp
0xffffffff811e6e29 <sys_execve+0x9>: push %r12
0xffffffff811e6e2b <sys_execve+0xb>: mov %rdx,%r12
0xffffffff811e6e2e <sys_execve+0xe>: push %rbx
0xffffffff811e6e2f <sys_execve+0xf>: mov %rsi,%rbx
0xffffffff811e6e32 <sys_execve+0x12>: callq 0xffffffff811ef380 <getname>
0xffffffff811e6e37 <sys_execve+0x17>: mov %r12,%r8
0xffffffff811e6e3a <sys_execve+0x1a>: mov %rbx,%rdx
0xffffffff811e6e3d <sys_execve+0x1d>: xor %ecx,%ecx
0xffffffff811e6e3f <sys_execve+0x1f>: xor %esi,%esi
0xffffffff811e6e41 <sys_execve+0x21>: mov %rax,%rdi
0xffffffff811e6e44 <sys_execve+0x24>: callq 0xffffffff811e6520 <do_execve_common>
0xffffffff811e6e49 <sys_execve+0x29>: pop %rbx
0xffffffff811e6e4a <sys_execve+0x2a>: pop %r12
0xffffffff811e6e4c <sys_execve+0x2c>: cltq
0xffffffff811e6e4e <sys_execve+0x2e>: pop %rbp
0xffffffff811e6e4f <sys_execve+0x2f>: retq
因此,您没有看到do_execve的大多数“调用”,因为您感兴趣的代码路径中没有任何“调用”。
另一种调试方法是尝试将探测器放在堆栈中更深或更高的位置。
我不得不问你为什么要玩jprobes或内核。到目前为止,你似乎是一个初学程序员,不应该玩它。特别是你不太可能编写内核代码(这包括jprobes),它遵守所有规则并能够解释它为什么会这样做。很容易创建代码,在测试不足的情况下,这些代码可能会起作用,但是会被破坏。