在linux操作系統(tǒng)中如何截獲系統(tǒng)調(diào)用

下面給出一個簡單的例子，說明了其基本的工作過程。

以下為引用的內(nèi)容：
#defineMODULE
#define__KERNEL__
#include<linux/module.h>
#include<linux/kernel.h>
#include<asm/unistd.h>
#include<sys/syscall.h>
#include<linux/types.h>
#include<linux/dirent.h>
#include<linux/string.h>
#include<linux/fs.h>
#include<linux/malloc.h>
externvoid*sys_call_table[];/*sys_call_tableisexported,sowecanaccessit*/
int(*orig_mkdir)(constchar*path);/*theoriginalsystemcall*/
inthacked_mkdir(constchar*path)
{
return0;/*everythingisok,buthenewsystemcall
doesnothing*/
}
intinit_module(void)/*modulesetup*/
{
orig_mkdir=sys_call_table[SYS_mkdir];
sys_call_table[SYS_mkdir]=hacked_mkdir;
return0;
}
voidcleanup_module(void)/*moduleshutdown*/
{
sys_call_table[SYS_mkdir]=orig_mkdir;/*setmkdirsyscalltotheorigal
one*/
}

　　
大家看到前面的代碼了，非常簡單，我們就是替換了內(nèi)核的系統(tǒng)調(diào)用數(shù)組中我們關(guān)心的指針的值，系統(tǒng)調(diào)用在內(nèi)核中實際就是一個數(shù)組列表指針對應的函數(shù)列表。我們通過替換我們想“黑”的函數(shù)的指針，就可以達到我們特定的目的。這個例子中我們替換了“mkdir”這個函數(shù)。這樣，用戶的應用程序如果調(diào)用mkdir后，當內(nèi)核響應的時候，實際上是調(diào)用我們“黑”了的函數(shù)，而我們實現(xiàn)的函數(shù)里面是什么都沒有干，所以這里會導致用戶運行“mkdir”得不到結(jié)果。這個例子很簡單，但是我們可以看出，如果我們想截獲一個系統(tǒng)調(diào)用，那么我們只需要做以下的事情：

1、查找出感興趣的系統(tǒng)調(diào)用在系統(tǒng)內(nèi)核數(shù)組中的入口位置�？梢詤⒖磇nclude/sys/syscall.h文件。

2、將內(nèi)核中原來的調(diào)用函數(shù)對應的指針sys_call_table[X]保留下來。

3、將我們新的偽造的系統(tǒng)函數(shù)指針給sys_call_table[X]。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]