Linux下实现劫持系统调用的总结

mik

godbach 太谦了，我是进来学习的

platinum

之前这部分知识很零散，通过 Godbach 这么一串，理解了很多

Godbach

我也是通过总结第二部分，把这个流程梳理清楚了

almeydifer

经典，收藏了。
这样的大作，实在是一种享受。

dreamice

这贴很有技术含量

Godbach

dreamice兄过奖了。。。

piaobo79

Godbach的文章都很有技术内涵，顶你。

vupiggy

unsigned long get_syscall_table_x86_64(void) { #define OFFSET_SYSCALL 256     unsigned long     syscall_entry;     char         sc_asm[OFFSET_SYSCALL];     char        *p; #ifndef CONFIG_XEN     syscall_entry = get_syscall_from_hw(ARCH_X86_64); #else     if (!is_running_on_xen())         syscall_entry = get_syscall_from_hw(ARCH_X86_64);     else if ((is_initial_xendomain()))         syscall_entry = get_syscall_from_xen(ARCH_X86_64);     else         syscall_entry = get_syscall_from_kallsyms(ARCH_X86_64); #endif     if (unlikely(syscall_entry == 0)) {         printk("[%s] Could not find system_call entry\n",                __FUNCTION__);         return -ENOSYS;     }         memcpy(sc_asm, (void*)syscall_entry, OFFSET_SYSCALL);     p = (char *)memmem(sc_asm, OFFSET_SYSCALL, "\xff\x14\xc5", 3);     if (unlikely(!p)) {         printk("[%s] Could not to find system calls table\n",                __FUNCTION__);         return -ENOSYS;     }         return *(unsigned long*)(p + 3); #undef OFFSET_SYSCALL }

vupiggy

unsigned long get_syscall_from_hw(arch_t arch) {     unsigned long    syscall_entry = 0;     struct idtr    idtr;     struct idt    idt;     switch(arch) {     case ARCH_X86_64:         rdmsrl(MSR_LSTAR, syscall_entry);         break;     case ARCH_X86:         asm("sidt %0"             :"=m"(idtr)             );         memcpy(&idt, (char *) idtr.base + 16 * 0x80, sizeof(idt));         syscall_entry =             (((unsigned long)idt.offset_high ) << 32) |             (((idt.offset_middle << 16) |               idt.offset_low) &              0x00000000ffffffff );         break;     }     return syscall_entry; }

vupiggy

unsigned long get_syscall_from_xen(arch_t arch) {     unsigned long        syscall_entry = 0;     xen_domctl_t        dmctl;     vcpu_guest_context_t    ctxt;     dmctl.cmd        = XEN_DOMCTL_getvcpucontext;     dmctl.domain        = 0;     dmctl.interface_version = XEN_DOMCTL_INTERFACE_VERSION;     dmctl.u.vcpucontext.vcpu   = 0;     dmctl.u.vcpucontext.ctxt.p = &ctxt;     if (unlikely(HYPERVISOR_domctl(&dmctl) != 0)) {         printk("[%s] hypercall failed\n", __FUNCTION__);         return 0;     }     switch(arch) {     case ARCH_X86_64:         syscall_entry = ctxt.syscall_callback_eip;         break;     case ARCH_X86:         syscall_entry = ctxt.trap_ctxt[0x80].address;         break;     }         return syscall_entry; }