Question

我使用以下模块代码来挂钩syscall，（记入其他人的代码，例如Linux Kernel: System call hooking example）。

#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/moduleparam.h>
#include <linux/unistd.h>
#include <asm/semaphore.h>
#include <asm/cacheflush.h>

void **sys_call_table;

asmlinkage int (*original_call) (const char*, int, int);

asmlinkage int our_sys_open(const char* file, int flags, int mode)
{
   printk(KERN_ALERT "A file was opened\n");
   return original_call(file, flags, mode);
}

int set_page_rw(long unsigned int _addr)
{
   struct page *pg;
   pgprot_t prot;
   pg = virt_to_page(_addr);
   prot.pgprot = VM_READ | VM_WRITE;
   return change_page_attr(pg, 1, prot);
}

int init_module()
{
    // sys_call_table address in System.map
    sys_call_table = (void*)0xffffffff804a1ba0;
    original_call = sys_call_table[1024];
    set_page_rw(sys_call_table);
    sys_call_table[1024] = our_sys_open;
    return 0;
}

void cleanup_module()
{
   // Restore the original call
   sys_call_table[1024] = original_call;
}

当insmod编译.ko文件时，终端抛出“Killed”。在查看'cat / proc / modules'文件时，我获得了加载状态。

my_module 10512 1 - Loading 0xffffffff882e7000 (P)

正如预期的那样，我无法rmmod这个模块，因为它抱怨它在使用中。系统重新启动以获得清洁状态。

稍后，在对上述来源sys_call_table[1024] = our_sys_open;和sys_call_table[1024] = original_call;中的两个代码行进行评论后，可以成功进行insmod。更有趣的是，当取消注释这两行（更改回原始代码）时，已编译的模块可以成功进行insmod。我不太明白为什么会这样？有没有办法成功编译代码并直接insmod它？

我使用linux内核2.6.24.6在Redhat上做了所有这些。

Answer 1

我认为你应该看看kprobes API，它在Documentation / krpobes.txt中有详细记载。它使您能够在每个地址（例如系统调用条目）上安装处理程序，以便您可以执行所需的操作。额外的好处是你的代码更便携。

如果您只对追踪这些系统调用感兴趣，可以使用审计子系统，编写您自己的用户域守护程序，该守护程序将能够从审计kthread接收NETLINK套接字上的事件。 libaudit提供了一个简单的API来注册/读取事件。

如果您有充分的理由不使用kprobes / audit，我建议您检查您尝试写入的值是否不在您设置的可写页面之上。快速计算表明：

offset_in_sys_call_table * sizeof(*sys_call_table) = 1024 * 8 = 8192

如果您使用的是4K页，那么之后的两页您设置为可写的页面。

做系统调用挂钩的问题

1 个答案: