注册
个人空间
几乎所有的空用户间操作在系统内核里都是通过系统里的系统调用来实现的，前面也写了一篇有关系统调用的文章，这里再简单的介绍一下大至过程，当用户执行某一操作时，比如果打开文件的操作，打开文件的程序会调用到glib库中的open函数，而open函数最终在内核的实现就是open系统调用，当用户执行到open函数时，会由用户空间切换到内核内间，通过int 80进行切换，进入内核空间后会找到一个sys_call_table的符号，sys_call_table是一个指向系统调用号列表的指针，再在 sys_call_table里找到想应的系统调用号，再通过系统调用号找到内核的系统调用，再执行系统调用。
劫持系统调用就是我们自己构造一个系统调用，想办法使sys_call_table相应的系统调用号指向我们自己构造的函数。在原来的2.2内核里，可以将sys_call_table直接导出，这样我们就很容易拿到sys_call_table的控制权来实现系统调用的劫持，但是从2.4的版本以后，考虑到安全问题不允许将sys_call_table再导出，这样就加大了取得sys_call_table控制权的难度，后面有人从/dev/kmem里读取sys_call_table的地址，再通过sys_call_table地址来实现系统调用的劫持，后来找到了一种更好的办法，可以不通过 /dev/kmem来直接找到sys_call_table的地址。这里重点讨论一下这种方法。
这种方法的原理比较简单，但思路很好，实现过程是自已构建一个内核模块，在这个模块中导出一个sys_call_table,因为内核的 sys_call_table不允许导出，所以我们在自已编写的内核模块里实现sys_call_table的导出。我们在模块里找到int 80对sys_call_table的引用，找出sys_call_table的地址，再将我们将要导出的sys_call_table指向这个地址，这样就是使到导出的sys_call_table和真实的sys_call_table没区别。
实现代码如下：
getsyscall.c文件
代码::
#ifndef __SYSCALL_INCLUDE__
# define __SYSCALL_INCLUDE__
#endif
#ifdef MODVERSIONS
#include
#endif
#include
#include
MODULE_LICENSE("GPL");
MODULE_AUTHOR("xinhe ");
MODULE_DESCRIPTION("export the sys_call_table");
#if !defined(symname)
#error symname not defined
#endif
#define CALLOFF 100
unsigned symname; /* #define */
struct {
unsigned short limit;
unsigned int base;
} __attribute__ ((packed)) idtr;
struct {
unsigned short off1;
unsigned short sel;
unsigned char none,
flags;
unsigned short off2;
} __attribute__ ((packed)) * idt;
void set_symbol_addr(unsigned old_value, unsigned new_value)
{
struct module *mod;
struct kernel_symbol *s;
int i;
for (mod = THIS_MODULE, s = mod->syms, i = 0; i num_syms; ++i, ++s)
if (s->value == old_value)
{
s->value = new_value;
return;
}
/*遍历本模块的符号表，把本模块的一个也叫sys_call_table的符号的地址
设置为系统真正的sys_call_table的实际地址。 */
}
char * findoffset(char *start)
{
char *p;
for (p = start; p off2 off1;
/*查找int 80的入口地址*/
if ((p = findoffset((char *) sys_call_off)))
{
sct = *(unsigned *) (p + 3);
set_symbol_addr((unsigned) &symname, sct);
}
EXPORT_SYMBOL(sys_call_table);
return 0;
}
static void __exit fini(void)
{
}
module_init(init);
module_exit(fini);
getsyscall的makefile
| 论坛热门帖子: | [lch203] 写得蛮好的linux学习笔记(10-21) [黑马制造] 学习java的30个目标(10-19) [笑傲股林] 做测试半年了，有点迷茫，应该再学些什么提高自己的测试水平和测试能力呢？(10-19) [udp8589] 大家用google的来吱一声? 用百度的~~也来报道下?(10-18) [沂偌掳兆] 本人总结的一些认为C++比较经典的书籍，希望对大家有用(10-18) |
| TAG标签: | 调用 系统 sys_call_table unsigned 内核 #include 实现 |
