1

我正在尝试重新定义 sys_open 的系统调用并以此跟踪用户行为。我使用 Linux 内核 4.13.0-041300。到目前为止，这是我的代码

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/init.h>
#include <linux/syscalls.h>

MODULE_LICENSE ("GPL");

//this is where the original sys_open call position will be saved
asmlinkage long (*original_open)(const char __user *filename, int flags, umode_t mode);

unsigned long **sys_call_table;
//this is to track how often my replaced function was called...
static int zeug = 0;

//this is my open function that i want to be replaced in the sys_call_table
asmlinkage long replaced_open(const char __user *filename, int flags, umode_t mode)
{
    printk ("replaced wurde aufgerufen...\n");
    zeug++;
    return original_open(filename, flags, mode);
}

static void enable_page_protection(void)
{
    unsigned long value;
    asm volatile("mov %%cr0, %0" : "=r" (value));

    if((value & 0x00010000))
        return;

    asm volatile("mov %0, %%cr0" : : "r" (value | 0x00010000));
}

static void disable_page_protection(void)
{
    unsigned long value;
    asm volatile("mov %%cr0, %0" : "=r" (value));

    if(!(value & 0x00010000))
        return;

    asm volatile("mov %0, %%cr0" : : "r" (value & ~0x00010000));
}

//the function to get the system_call_table
static unsigned long **aquire_sys_call_table(void)
{
    unsigned long int offset = PAGE_OFFSET;
    unsigned long **sct;

    while (offset < ULLONG_MAX) {
        sct = (unsigned long **)offset;

        if (sct[__NR_close] == (unsigned long *) sys_close)
            return sct;

        offset += sizeof(void *);
    }

    return NULL;
}

static int __init minit (void)
{
    printk ("minit: startet...\n");

    if(!(sys_call_table = aquire_sys_call_table()))
            return -1;

    printk ("minit: sys_call_table ersetzt...\n");

    disable_page_protection(); 
    {
        //here i print the function name of the current function in sys_call_table
        printk ("minit: eintrag vor ersetzen:%pF\n", sys_call_table[__NR_open]);

        //here i store the real sys_open function and change to my func
        original_open =(void * )xchg(&sys_call_table[__NR_open],(unsigned long *)replaced_open);

}
    enable_page_protection();
    return 0;
}

static void mexit (void)
{
    printk ("mexit gestartet.\n");
    printk ("Open was called %d times...\n",zeug);
    if(!sys_call_table) return;

    //here i print the stored function again
    printk ("bei exit:%pF\n", sys_call_table[__NR_open]);

    disable_page_protection();
    {
            //change back to original sys_open function
            xchg(&sys_call_table[__NR_open], (unsigned long *)original_open);
    }
    printk ("nach zurücksetzen:%pF\n", sys_call_table[__NR_open]);
    enable_page_protection();
}

module_init(minit);
module_exit(mexit);

我的计划：在将此模块安装到内核之后，sys_open 的每个系统调用都将“重定向”到我的函数replaced_open。这个函数会计算它的调用次数，然后调用原来的 open 函数。

在我的模块的 rmmod 之后，将再次使用原始的 system_call open。

看来，更换工作。所以在insmmod之后我得到了replaced_open+0x0/0x40 [kroot]的结果。这意味着，原来的功能 sys_open 被替换为我的replaced_open 对吗？删除我的模块后，我收到消息 SyS_open+0x0/0x20。

所以这似乎是替换作品。

我的问题是：我没有从我的 replace_open 函数中看到任何打印的消息。此外，计数似乎不起作用。

感觉功能没有被正确替换。

你对我有什么帮助吗？

4

0 回答 0