Ядро Linux: перехват системных вызовов
Я пытаюсь написать простой тестовый код как демонстрация подключения таблицы системных вызовов.
"sys_call_table" больше не экспортируется в 2.6, поэтому я просто хватаю адрес из системы.файл карты, и я вижу, что это правильно (просматривая память по адресу, который я нашел, я вижу указатели на системные вызовы).
однако, когда я пытаюсь изменить эту таблицу, ядро дает "Oops" с " неспособным обрабатывать запрос подкачки ядра в virtual адрес c061e4f4" и перезагрузками.
Это CentOS 5.4 работает 2.6.18-164.10.1.el5. Есть ли какая-то защита или у меня просто баг? Я знаю, что он поставляется с SELinux, и я попытался поместить его в разрешительный режим, но это не имеет значения
вот мой код:
#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/moduleparam.h>
#include <linux/unistd.h>
void **sys_call_table;
asmlinkage int (*original_call) (const char*, int, int);
asmlinkage int our_sys_open(const char* file, int flags, int mode)
{
printk("A file was openedn");
return original_call(file, flags, mode);
}
int init_module()
{
// sys_call_table address in System.map
sys_call_table = (void*)0xc061e4e0;
original_call = sys_call_table[__NR_open];
// Hook: Crashes here
sys_call_table[__NR_open] = our_sys_open;
}
void cleanup_module()
{
// Restore the original call
sys_call_table[__NR_open] = original_call;
}
4 ответов
я, наконец, нашел ответ сам.
http://www.linuxforums.org/forum/linux-kernel/133982-cannot-modify-sys_call_table.html
ядро было изменено в какой-то момент, так что таблица системных вызовов доступна только для чтения.
cypherpunk:
даже если это поздно, но решение может заинтересовать и других: вхождение.S файл, который вы найдете: Code:
.section .rodata,"a" #include "syscall_table_32.S"
sys_call_table - > ReadOnly вы должны скомпилируйте ядро new, если хотите "рубить" с sys_call_table...
ссылка также имеет пример изменения памяти для записи.
насекомолет:
Привет всем. Спасибо за ответы. Я проблема давно решена изменение доступа к страницам памяти. Я реализованы две функции, которые это мой верхний уровень код:
#include <asm/cacheflush.h> #ifdef KERN_2_6_24 #include <asm/semaphore.h> int set_page_rw(long unsigned int _addr) { struct page *pg; pgprot_t prot; pg = virt_to_page(_addr); prot.pgprot = VM_READ | VM_WRITE; return change_page_attr(pg, 1, prot); } int set_page_ro(long unsigned int _addr) { struct page *pg; pgprot_t prot; pg = virt_to_page(_addr); prot.pgprot = VM_READ; return change_page_attr(pg, 1, prot); } #else #include <linux/semaphore.h> int set_page_rw(long unsigned int _addr) { return set_memory_rw(_addr, 1); } int set_page_ro(long unsigned int _addr) { return set_memory_ro(_addr, 1); } #endif // KERN_2_6_24
вот модифицированная версия исходного кода, которая работает для меня.
#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/moduleparam.h>
#include <linux/unistd.h>
#include <asm/semaphore.h>
#include <asm/cacheflush.h>
void **sys_call_table;
asmlinkage int (*original_call) (const char*, int, int);
asmlinkage int our_sys_open(const char* file, int flags, int mode)
{
printk("A file was opened\n");
return original_call(file, flags, mode);
}
int set_page_rw(long unsigned int _addr)
{
struct page *pg;
pgprot_t prot;
pg = virt_to_page(_addr);
prot.pgprot = VM_READ | VM_WRITE;
return change_page_attr(pg, 1, prot);
}
int init_module()
{
// sys_call_table address in System.map
sys_call_table = (void*)0xc061e4e0;
original_call = sys_call_table[__NR_open];
set_page_rw(sys_call_table);
sys_call_table[__NR_open] = our_sys_open;
}
void cleanup_module()
{
// Restore the original call
sys_call_table[__NR_open] = original_call;
}
спасибо Стивен, ваши исследования здесь были полезны для меня. У меня было несколько проблем, хотя, поскольку я пробовал это на ядре 2.6.32 и получал WARNING: at arch/x86/mm/pageattr.c:877 change_page_attr_set_clr+0x343/0x530() (Not tainted)
затем ядро OOPS о невозможности записи на адрес памяти.
комментарий над упомянутой строкой гласит:
// People should not be passing in unaligned addresses
работает следующий измененный код:
int set_page_rw(long unsigned int _addr)
{
return set_memory_rw(PAGE_ALIGN(_addr) - PAGE_SIZE, 1);
}
int set_page_ro(long unsigned int _addr)
{
return set_memory_ro(PAGE_ALIGN(_addr) - PAGE_SIZE, 1);
}
обратите внимание, что это по-прежнему не устанавливает страницу как чтение/запись в некоторых ситуациях. The
обратите внимание, что вместо change_page_attr будет работать следующее:
static void disable_page_protection(void) {
unsigned long value;
asm volatile("mov %%cr0,%0" : "=r" (value));
if (value & 0x00010000) {
value &= ~0x00010000;
asm volatile("mov %0,%%cr0": : "r" (value));
}
}
static void enable_page_protection(void) {
unsigned long value;
asm volatile("mov %%cr0,%0" : "=r" (value));
if (!(value & 0x00010000)) {
value |= 0x00010000;
asm volatile("mov %0,%%cr0": : "r" (value));
}
}
Если вы имеете дело с ядром 3.4 и более поздними версиями (он также может работать с более ранними ядрами, я не тестировал его), я бы рекомендовал более умный способ получить расположение таблицы системного вызоваы.
#include <linux/module.h>
#include <linux/kallsyms.h>
static unsigned long **p_sys_call_table;
/* Aquire system calls table address */
p_sys_call_table = (void *) kallsyms_lookup_name("sys_call_table");
вот именно. Нет адресов, он отлично работает с каждым ядром, которое я тестировал.
таким же образом вы можете использовать не экспортированную функцию ядра из вашего модуля:
static int (*ref_access_remote_vm)(struct mm_struct *mm, unsigned long addr,
void *buf, int len, int write);
ref_access_remote_vm = (void *)kallsyms_lookup_name("access_remote_vm");
наслаждайтесь!