基于系统调用的日志系统的设计与实现
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
为 的操作 ， 有详细 、 没 有针 对性 的记 录系统 运行 的轨
或者异常的相应内核初始化过程， 其中 ｓ ＿ｙｔ ＿ ｅ ｓｓ ｍ ｔ ｅ
ｔ ｐｇ ｔ将 向量 Ｏ８ 对应 的内核处理 函数设置为 ｒ ＿ａ ａ ｅ ｘ０
系统调用 处理 函数 ｓｓｅ ＿ａｌ ｙｔｍ ｃｌ 。
１ １ ２ 系统 调 用执 行机 制 ． ．
快 速系统 调用 机制 。 １１ 基于软 中断的 系统调用 机制分 析 ．
用户态进程和硬件设备之间的大部分接 口［ 。目前 １ ］
Ｌｎ ｘ系统 中系统 调用有 ３０多个 。涉 及 系统各 方 ｉｕ ０
面资源 ， 如文件 、 进程 、 信号 、 试、 调 用户／ Ｉ 、 组 Ｄ 时 间、 终端等的操作 。用户态获取到的服务 ， 都需要使 用系统调用这个接 口。 日志是 Ｌｎ ｘ安全体 系 中一个重要 的组成部 ｉｕ 分［ 引。随着 目 前对安全性需求 的增加 ， 实时获取系 统 日志的需求也愈发突出。 日 中记 录了系统的各 志
／
● ＼ 、ｉｏ ｛ ● ｌ ｒｍｃ ● ＼ ｆｙ ｒｓ ｅ ａ ｆｓｌ
ｌ ｔ ｒ ｅ
Fra Baidu bibliotek
＼Ｉ 、
／
＼
户态 日志获取模块与内核态模块通信的接 口。并且
导 出重要 的接 口给核心模 块 。
１ １ １ 基 于软 中断 系统调 用的 内核初 始化过 程 ．．
应系统调用服务例程函数的地址 。 内核初始化时， 执行 ｔ ｐ ｉｉｓ ｒ —ｎ Ｃ来完成对中断 ａ ｔ３
类事件和信息 ， 这些信息将作为监控 、 审计系统安全
性的有效依据 。 现有的 Ｌｎ ｘ日志系统部分 ， ｉ ｕ 针对具体系统行
迹， 无法实时 、 有效的分析系统安全性 。因此 ， 本文 在分析 Ｌｎ ｘ ｉ 系统调用机制的基础上 ， ｕ 把内核态获
应用程序 中调用系统调用有 ３种方式［ ： ６ 使用 ］ ｇｉ 库 的封装 函数； ｌｃ ｂ 使用 ｇｉ 库 的通用接 口 ｓ— ｌｃ ｂ ｙ
取的信息传递给用户态程序 ， 实现 了基于系统调用
的 日志系统。通过在 内核层获取安全相关的系统调 用的详细 日志， 系统行 为进行 监控 ， 对 可以达到实 时、 有效的分析系统安全性 。
ｓａ ； ｃｌ使用 内联汇编。通常情况下均是使用封装 函 ｌ
数 。系统调用号以及参数加载到相应寄存器后 ， 系 统执行 ｉｔ ｘ０陷入内核 。相应 的安全性检查过 ｎ ８ ０ 后， 会装 载 Ｃ 和 ｅ Ｓ ｉ ｐ寄存器 ， 值就是 Ｉ Ｔ 中第 其 Ｄ ０ ８ 项的门描述符 的段选择符 和偏移量。段描述 ｘ０ 符对应基址， 结合偏移量就找到相应的 ｓｓ ｍ ｃｌ ｙｔ ＿ ａ ｅ ｌ
苏锦 秀， 陈莉君
（ 西安邮 电学院 计算机 学院，陕西 西安 ７０２） １ １ １
摘要 ： 为提 高 Ｌｎ ｘ系统安全 性， ｉｕ 在逐步分析 Ｌｎ ｘ系统调 用机制 的基 础上 ， 计并 实现 了基 于 系统调 用的 日志 系 ｉｕ 设
统。通过在 内核 添加新 的 系统调 用 ， 内核 实时截获 日志信息 ， 从 并导出到用户态， 系统 能够实时获取与 系统安 全 使
１ Ｌｎ ｘ系统 调 用 机 制剖 析 ｉｕ
系统调用机制是用户态与内核态的重要接 口。
收稿 日期 ：０ １ ０ —０ ２１ — ４ ２
作者简介 ： 苏锦秀 （９６ ）女 ， １８一 ， 硕士研究生 ， 研究方 向： 安全操作系统 ，－ ａ：ｕｕ３ ９ ｉ ．Ｏｌ Ｅｍ ｉｓｓ１９＠ｓ ａＣＩ； ｌ ｎ Ｉ 陈莉君 （９４ ）女 ， １６一 ， 教授 ，
中图分类号 ： ３ １５ ＴＰ １ ．
文献标识码 ： Ａ
文章编号 ：０ ７ ２ ４ ２ １ ）４ ０ ９ ０ １０ —３ ６ （０ １ ０ ～０ ５ — ３
Ｌｎ ｘ系 统通 过 向 内 核发 出 系 统 调 用 ， 现 了 ｉｕ 实
目前 Ｌｎ ｘ ｉｕ 内核支持基于软中断的系统调用机制和
研究方 向： 安全操作 系统 和嵌入式系统 。
・
６ ・ ０
西
安
邮
电 学
院
学 报
２１ ０ １年 ７月
的第一条指令 的逻辑地址。此时系统调用相应的处 理进 人 内核 。调 用一 个 系 统 调用 的过 程 如 图 １
所示 。
／ 。ｓ。 、 厂 。ｐ 、 ｒ。
ｋ 。 ｌ
传统 的 系 统 调 用 发 出 方 式 是 通 过 软 中 断
ｉ ｘ８ ［］ ｎｔ０ ０ ３
。
系统 调用 在 内核 中 以系统 调 用 号 为标
识［ 。实质上 ， ４ ］ 系统调用号就是系统调用表 ｓｓｃｌ ｙ＿ａ ｌ
—
ｔ ｌ数组的下标 ， ａｅ ｂ 数组 ｓｓｃｌ ｔ ｌ 的元素为对 ｙ＿ ａ—ａ ｅ ｌ ｂ
２１ ０ １年 ７月
西
安
邮
电
学
院
学
报
Ｊ１ ０ １ ｕ．２ １
第１ ６卷 第 ４ 期
ＪＵ Ｏ ＲＮＡＬ ＯＦＸＩＡＮ ＵＮＩ Ｒ Ｉ ＯＳ ’ ＶＥ ＳＴＹ ＯＦＰ ＴＳＡＮＤ ＴＥ Ｅ ＯＭＭＵＮＩＡＴＩ ＮＳ ＬＣ Ｃ Ｏ
Ｖ １１ ． ｏ． ６Ｎｏ ４
基 于 系统 调 用 的 日志 系统 的设 计 与 实现
相 关的各种信 息， 而分析 系统 的行为 ， 从 审计 系统的安全性。为尽 可能减 少内核 代码 的修改 ， 心功 能模块 以内核 核
可加 栽模 块机 制 实现 ， 少 了调 试 难 度 ， 大 了 系统 的 可 扩 充 性 。 减 加 关 键 词 ：ｉｕ Ｌｎ ｘ内核 ； 统调 用 ； 系 日志 系统
ｓ ｓ ｍ ａｌ ｙｔ ｅ ｃｌ ：
＿
、 、
ｓｓ ｘｚ ｛ ｙ ｙＯ
＿ ● ●
？ｙ ， ｚ （／ ） ｛
… ／
．
ｓｓｘｚ） ｙ＿ ｙ（
． ｝
’ １
图 ２ 系统 结构 图
ｘｚ ｙＯ
ｉｔ ｘ ０ ｎＯ ８
志 接 口模 块 以及恢 复到 内核系统 调用 流程 。 日志接 口模块 负责 添加 新 的系 统 调用 ， 为用 作
或者异常的相应内核初始化过程， 其中 ｓ ＿ｙｔ ＿ ｅ ｓｓ ｍ ｔ ｅ
ｔ ｐｇ ｔ将 向量 Ｏ８ 对应 的内核处理 函数设置为 ｒ ＿ａ ａ ｅ ｘ０
系统调用 处理 函数 ｓｓｅ ＿ａｌ ｙｔｍ ｃｌ 。
１ １ ２ 系统 调 用执 行机 制 ． ．
快 速系统 调用 机制 。 １１ 基于软 中断的 系统调用 机制分 析 ．
用户态进程和硬件设备之间的大部分接 口［ 。目前 １ ］
Ｌｎ ｘ系统 中系统 调用有 ３０多个 。涉 及 系统各 方 ｉｕ ０
面资源 ， 如文件 、 进程 、 信号 、 试、 调 用户／ Ｉ 、 组 Ｄ 时 间、 终端等的操作 。用户态获取到的服务 ， 都需要使 用系统调用这个接 口。 日志是 Ｌｎ ｘ安全体 系 中一个重要 的组成部 ｉｕ 分［ 引。随着 目 前对安全性需求 的增加 ， 实时获取系 统 日志的需求也愈发突出。 日 中记 录了系统的各 志
／
● ＼ 、ｉｏ ｛ ● ｌ ｒｍｃ ● ＼ ｆｙ ｒｓ ｅ ａ ｆｓｌ
ｌ ｔ ｒ ｅ
Fra Baidu bibliotek
＼Ｉ 、
／
＼
户态 日志获取模块与内核态模块通信的接 口。并且
导 出重要 的接 口给核心模 块 。
１ １ １ 基 于软 中断 系统调 用的 内核初 始化过 程 ．．
应系统调用服务例程函数的地址 。 内核初始化时， 执行 ｔ ｐ ｉｉｓ ｒ —ｎ Ｃ来完成对中断 ａ ｔ３
类事件和信息 ， 这些信息将作为监控 、 审计系统安全
性的有效依据 。 现有的 Ｌｎ ｘ日志系统部分 ， ｉ ｕ 针对具体系统行
迹， 无法实时 、 有效的分析系统安全性 。因此 ， 本文 在分析 Ｌｎ ｘ ｉ 系统调用机制的基础上 ， ｕ 把内核态获
应用程序 中调用系统调用有 ３种方式［ ： ６ 使用 ］ ｇｉ 库 的封装 函数； ｌｃ ｂ 使用 ｇｉ 库 的通用接 口 ｓ— ｌｃ ｂ ｙ
取的信息传递给用户态程序 ， 实现 了基于系统调用
的 日志系统。通过在 内核层获取安全相关的系统调 用的详细 日志， 系统行 为进行 监控 ， 对 可以达到实 时、 有效的分析系统安全性 。
ｓａ ； ｃｌ使用 内联汇编。通常情况下均是使用封装 函 ｌ
数 。系统调用号以及参数加载到相应寄存器后 ， 系 统执行 ｉｔ ｘ０陷入内核 。相应 的安全性检查过 ｎ ８ ０ 后， 会装 载 Ｃ 和 ｅ Ｓ ｉ ｐ寄存器 ， 值就是 Ｉ Ｔ 中第 其 Ｄ ０ ８ 项的门描述符 的段选择符 和偏移量。段描述 ｘ０ 符对应基址， 结合偏移量就找到相应的 ｓｓ ｍ ｃｌ ｙｔ ＿ ａ ｅ ｌ
苏锦 秀， 陈莉君
（ 西安邮 电学院 计算机 学院，陕西 西安 ７０２） １ １ １
摘要 ： 为提 高 Ｌｎ ｘ系统安全 性， ｉｕ 在逐步分析 Ｌｎ ｘ系统调 用机制 的基 础上 ， 计并 实现 了基 于 系统调 用的 日志 系 ｉｕ 设
统。通过在 内核 添加新 的 系统调 用 ， 内核 实时截获 日志信息 ， 从 并导出到用户态， 系统 能够实时获取与 系统安 全 使
１ Ｌｎ ｘ系统 调 用 机 制剖 析 ｉｕ
系统调用机制是用户态与内核态的重要接 口。
收稿 日期 ：０ １ ０ —０ ２１ — ４ ２
作者简介 ： 苏锦秀 （９６ ）女 ， １８一 ， 硕士研究生 ， 研究方 向： 安全操作系统 ，－ ａ：ｕｕ３ ９ ｉ ．Ｏｌ Ｅｍ ｉｓｓ１９＠ｓ ａＣＩ； ｌ ｎ Ｉ 陈莉君 （９４ ）女 ， １６一 ， 教授 ，
中图分类号 ： ３ １５ ＴＰ １ ．
文献标识码 ： Ａ
文章编号 ：０ ７ ２ ４ ２ １ ）４ ０ ９ ０ １０ —３ ６ （０ １ ０ ～０ ５ — ３
Ｌｎ ｘ系 统通 过 向 内 核发 出 系 统 调 用 ， 现 了 ｉｕ 实
目前 Ｌｎ ｘ ｉｕ 内核支持基于软中断的系统调用机制和
研究方 向： 安全操作 系统 和嵌入式系统 。
・
６ ・ ０
西
安
邮
电 学
院
学 报
２１ ０ １年 ７月
的第一条指令 的逻辑地址。此时系统调用相应的处 理进 人 内核 。调 用一 个 系 统 调用 的过 程 如 图 １
所示 。
／ 。ｓ。 、 厂 。ｐ 、 ｒ。
ｋ 。 ｌ
传统 的 系 统 调 用 发 出 方 式 是 通 过 软 中 断
ｉ ｘ８ ［］ ｎｔ０ ０ ３
。
系统 调用 在 内核 中 以系统 调 用 号 为标
识［ 。实质上 ， ４ ］ 系统调用号就是系统调用表 ｓｓｃｌ ｙ＿ａ ｌ
—
ｔ ｌ数组的下标 ， ａｅ ｂ 数组 ｓｓｃｌ ｔ ｌ 的元素为对 ｙ＿ ａ—ａ ｅ ｌ ｂ
２１ ０ １年 ７月
西
安
邮
电
学
院
学
报
Ｊ１ ０ １ ｕ．２ １
第１ ６卷 第 ４ 期
ＪＵ Ｏ ＲＮＡＬ ＯＦＸＩＡＮ ＵＮＩ Ｒ Ｉ ＯＳ ’ ＶＥ ＳＴＹ ＯＦＰ ＴＳＡＮＤ ＴＥ Ｅ ＯＭＭＵＮＩＡＴＩ ＮＳ ＬＣ Ｃ Ｏ
Ｖ １１ ． ｏ． ６Ｎｏ ４
基 于 系统 调 用 的 日志 系统 的设 计 与 实现
相 关的各种信 息， 而分析 系统 的行为 ， 从 审计 系统的安全性。为尽 可能减 少内核 代码 的修改 ， 心功 能模块 以内核 核
可加 栽模 块机 制 实现 ， 少 了调 试 难 度 ， 大 了 系统 的 可 扩 充 性 。 减 加 关 键 词 ：ｉｕ Ｌｎ ｘ内核 ； 统调 用 ； 系 日志 系统
ｓ ｓ ｍ ａｌ ｙｔ ｅ ｃｌ ：
＿
、 、
ｓｓ ｘｚ ｛ ｙ ｙＯ
＿ ● ●
？ｙ ， ｚ （／ ） ｛
… ／
．
ｓｓｘｚ） ｙ＿ ｙ（
． ｝
’ １
图 ２ 系统 结构 图
ｘｚ ｙＯ
ｉｔ ｘ ０ ｎＯ ８
志 接 口模 块 以及恢 复到 内核系统 调用 流程 。 日志接 口模块 负责 添加 新 的系 统 调用 ， 为用 作