在Linux操作系统中如何截获系统调用

2006-03-10 14:14更新来源：天极网

今
日
推
荐

美国断臂女装上仿生臂变身女版...
科学家研究出快速诊断肺结核新法...
深夜频遭遇怪声骚扰 “鬼城闹鬼...
动物卫士命丧海底毒鱼刺鳐遭报...

微软Zune播放器揭开面纱挑战iPo...
iPod手机图片现身法国产品原型...
口袋妖怪再次袭来！索尼推出UMPC...
安全为先东芝发布新款M7平板电脑

今日焦点：

•	全国第二大手机代理商蜂星国际巨亏8亿猝死内幕
•	英特尔宣布大裁员10500人计划2年节省50亿美元
•	销售自揭电脑城宰客黑幕新电脑装快报废“心”

·		·

·		·

使用Linux Kernel Module的一般目的就是扩展系统的功能，或者给某些特殊的设备提供驱动等等。其实利用Linux内核模块我们还可以做一些比较“黑客”的事情，例如用来拦截系统调用，然后自己处理。嘿嘿，有意思的说。

下面给出一个简单的例子，说明了其基本的工作过程。

#define MODULE

#define __KERNEL__

#include

extern void* sys_call_table[]\;

/*sys_call_table is exported, so we can access it*/

int (*orig_mkdir)(const char *path)\;

/*the original systemcall*/

int hacked_mkdir(const char *path)

{

return 0\; /*everything is ok, but he new systemcall

does nothing*/

}

int init_module(void) /*module setup*/

{

orig_mkdir=sys_call_table[SYS_mkdir]\;

sys_call_table[SYS_mkdir]=hacked_mkdir\;

return 0\;

}

void cleanup_module(void) /*module shutdown*/

{

sys_call_table[SYS_mkdir]=orig_mkdir\; /

*set mkdir syscall to the origal

one*/

}

大家看到前面的代码了，非常简单，我们就是替换了内核的系统调用数组中我们关心的指针的值，系统调用在内核中实际就是一个数组列表指针对应的函数列表。我们通过替换我们想“黑”的函数的指针，就可以达到我们特定的目的。

这个例子中我们替换了“mkdir”这个函数。这样，用户的应用程序如果调用mkdir后，当内核响应的时候，实际上是调用我们“黑”了的函数，而我们实现的函数里面是什么都没有干，所以这里会导致用户运行“mkdir”得不到结果。这个例子很简单，但是我们可以看出，如果我们想截获一个系统调用，那么我们只需要做以下的事情：

1．查找出感兴趣的系统调用在系统内核数组中的入口位置。可以参看include/sys/ syscall.h文件。

2．将内核中原来的调用函数对应的指针sys_call_table[X]保留下来。

3．将我们新的伪造的系统函数指针给sys_call_table[X]。

发送给朋友