在linux操作系统中如何截获系统调用

作者：IT坊文章来源：互联网更新时间：2008-1-26 16:34:05

★★★

使用LinuxKernelModule的一般目的就是扩展系统的功能，或者给某些特殊的设备提供驱动等等。其实利用Linux内核模块我们还可以做一些比较“黑客”的事情，例如用来拦截系统调用，然后自己处理。嘿嘿，有意思的说。

下面给出一个简单的例子，说明了其基本的工作过程。
　

以下为引用的内容：
　　#defineMODULE
　　#define__KERNEL__
　　#include<linux/module.h>
　　#include<linux/kernel.h>
　　#include<asm/unistd.h>
　　#include<sys/syscall.h>
　　#include<linux/types.h>
　　#include<linux/dirent.h>
　　#include<linux/string.h>
　　#include<linux/fs.h>
　　#include<linux/malloc.h>
　　externvoid*sys_call_table[];/*sys_call_tableisexported,sowecanaccessit*/
　　int(*orig_mkdir)(constchar*path);/*theoriginalsystemcall*/
　　inthacked_mkdir(constchar*path)
　　{
　　return0;/*everythingisok,buthenewsystemcall
　　doesnothing*/
　　}
　　intinit_module(void)/*modulesetup*/
　　{
　　orig_mkdir=sys_call_table[SYS_mkdir];
　　sys_call_table[SYS_mkdir]=hacked_mkdir;
　　return0;
　　}
　　voidcleanup_module(void)/*moduleshutdown*/
　　{
　　sys_call_table[SYS_mkdir]=orig_mkdir;/*setmkdirsyscalltotheorigal
　　one*/
　　}

　　
大家看到前面的代码了，非常简单，我们就是替换了内核的系统调用数组中我们关心的指针的值，系统调用在内核中实际就是一个数组列表指针对应的函数列表。我们通过替换我们想“黑”的函数的指针，就可以达到我们特定的目的。这个例子中我们替换了“mkdir”这个函数。这样，用户的应用程序如果调用mkdir后，当内核响应的时候，实际上是调用我们“黑”了的函数，而我们实现的函数里面是什么都没有干，所以这里会导致用户运行 “mkdir”得不到结果。这个例子很简单，但是我们可以看出，如果我们想截获一个系统调用，那么我们只需要做以下的事情：

1、查找出感兴趣的系统调用在系统内核数组中的入口位置。可以参看include/sys/syscall.h文件。

2、将内核中原来的调用函数对应的指针sys_call_table[X]保留下来。

3、将我们新的伪造的系统函数指针给sys_call_table[X]。

上一篇文章：使用PXE协议远程安装LINUX

下一篇文章：出错也不怕—linux系统紧急情况处理方法

【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】

网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！）

图说天下