Linux 系统调用劫持方法

extern void* sys_call_table[];/*声明使用系统本身的系统调用表*/ int (*orig_ mkdir)(const char *path); /*用于保存原始系统调用*/ int hacked_ mkdir(const char *path) { return 0; /*替换后的操作什么也不做*/ } /*初始化模块*/ int init-module(void) { orig_mkdir=sys_call_table[sys_mkdir]; sys_call_table[sys_mkdir]=hacked_mkdir; return 0; } /*卸载模块*/ void cleanup_module(void) { sys_calltable[SYS_mkdir]=oritem.map 和 vmLinux 获得 sys_call_table 地址 Linux 在 2.4.18 版本以后的内核不再导出符号 sys_call_table,我们可利用其它的方法 获得 sys_call_table 的地址,主要通过两个文件,即 vmlinuz 和 system.map,其中 vmlinuz 是 可引导的、压缩的内核,其中“vm”代表“Virtual Memory”, 通常位于/boot/vmlinuz,一般是 在编译内核时通过“make zImage”创建或 make bzImage 创建,然后通过拷贝产生,在开头部 分内嵌有 gzip 解压缩代码。由内核文件中包含的一个微型的 gzip 用于解压缩内核并引导 它;system.map 是一个特定内核的内核符号表,是当前运行的内核的 System.map 的链接。简 单 的 通 过 命 令 :grep sys_call_table /boot/System.map 或 nm vmLinux-2.4.20-8|grep sys_call_table 就可以获得 sys_call_table 的地址,然后通过硬编码的方式,如得到的地址
3 利用 dev/kmem 获得 sys_call_table 地址 在 Linux 中 kmem 是一个字符设备文件,是计算机主存的映象,可以用于测试和修改系
统,通过读取这个设备文件可以得到内存中的数据,因此,通过它可以找到 sys_call_table 的地 址。其方法是读取 kmem 中的内容,用 sidt 汇编指令进行模式匹配获取 IDTR 寄存器的值, 如系统调用流程图所示,该寄存器指向当前中断向量表 IDT 的基地址,从该地址出发根据偏 移量可以获得 int $0x80 中断描述符所在的位置,系统调用采用 call sys_call_table(,eax,4)方 法来实现具体的调用,其机器码是 0xff 0x14 0x85,这样可以通过匹配确定 sys_call_table 的 地址,其核心代码如下: asm(“sidt %0” “:=m” (idtr)) //读取 idtr 寄存器的值至 idtr 结构中 readkmem(&idt,idtr.base+8*0x80,sizeof(idt)) //从 IDT 读出 0x80 向量 // 得 到 system_call 函 数 的 地 址 sys_call_off=(idt.off2<<16)idt.off1; readkmem(buff,sys_call_off,100)//读取 system_call 函数的前 100 字节至 buff //得到 call 语句对应机器码的地址 p = (char*)memmem (sc_asm,CALLOFF,"\xff\x14\x85",3) sct=(unsigned *)(p+3) //得到 sys_call_table 的地址
系统调用的替换方法
1 内核直接导出符号 sys_call_table,利用 lkm 模块实现替换 Linux 2.4.18 以前的内核直接导出符号 sys_call_table,这使得在 LKM 模块中替换原有
的系统调用成为可能。具体的作法是: 保存 sys_call_table[x]中所放置的系统调用函数入口 指针(在这里 x 代表想要截获的系统调用的索引)。将自己定义的新的函数指针存入 sys_call_table[x] 。 下 面 以 sys_mk_dir 为 例 , 说 明 替 换 原 有 的 系 统 调 用 的 软 件 实 现 。 在 init_module()函数中,首先用 orig_mkdir 保存原有的 mkdir 系统调用响应函数地址。然后将 伪造的系统调用响应函数 hacked_ mkdir 的函数地址 填 入 sys_call_table[SYS_mkdir] 。 在 cleanup_module() 函 数 中 将 系 统 调 用 表 sys_call_table[]中 mkdir 系统调用对应 的项 sys_call_table[SYS_mkdir]恢复成为原有的值 orig_mkdir。主要代码如下 :
为:c030a0f0,按下面代码示意的方法就可以实现系统调用的替换: /*声明系统调用表*/ void **sys_call_table; int init_module() { ... sys_call_table=(void**)(0xc030a0f0);//设置系统调用表的首地址 orig_mkdir = sys_call_table[SYS_mkdir];//实现 mk_dir 的替换 ... }