Linux内核的代码段是只读的吗？进程的代码段呢？

linux初学三月

请查看内核原码

new_learner

请查看内核原码
linux初学三月 发表于 2010-07-13 12:12

    查看过了，请参见第十楼。
你看哪个函数？

kgn28

回复 21# linux初学三月

而且在kernel的_text开始的地方我是可以更改内容的，这不就说明是可写的吗？见11楼。

linux初学三月

回复  linux初学三月

而且在kernel的_text开始的地方我是可以更改内容的，这不就说明是可写的吗？见11楼 ...
kgn28 发表于 2010-07-13 13:43

    只读是在运行的时候只读，不是静态的可以更改

kgn28

回复 24# linux初学三月


    什么意思？运行时只读？系统启动不就算是运行时，那么我在系统运行时候改了_text+1中的内容，不就算是在运行时改了代码段的内容？

zylthinking

代码段谈不上可不可写， 代码段是指保存在 cs 寄存器的段， 其和数据段映射到同一块内存单元上， 所谓代码段不可写， 指的是不可以通过cs寄存器来写， 然而通过 ds 寄存器， 就可以通过段描述符检查这一关了。

然后就到了检查页表权限了， 一般来说， 代码所在的页， 其可写标志是置为0的， 所以可读， 可执行， 但不可写。 然而通过 mmap 调用， 可以重写这个标志， 这样， 通过 ds 寄存器与 mmap， 就可以向代码段覆盖任意指令， 写完后再将写权限拿掉， 就是常用的 hack 手段了

kgn28

回复 26# zylthinking


    那么如何解释10楼的代码？

zylthinking

回复  zylthinking


    那么如何解释10楼的代码？
kgn28 发表于 2010-07-13 20:09

汗， 没仔细看代码， 现在我也纳闷了

kgn28

回复 28# zylthinking


    我指的代码段并不是保护模式下分段的那个段的概念，而是说‘内核代码存放的内存区域’，也就是EIP指向的地方。（当然这个其实也是代码段的概念，只不过段限长度不去考虑）。

upczhsh

回复 1# superhappy1


Linux内核代码并非只读的，参见10楼的代码，很多Rootkit的攻击目标就是内核代码