Linux下实现劫持系统调用的总结

tanyayun

回复 61# zonelight


    你好，我是在linux/arch/x86/include/asm/ptrace.h和linux/include/linux/ptrace.h中找到pt_regs结构体的定义，如下：

   struct pt_regs {  
       long ebx;     
       long ecx;     
       long edx;     
       long esi;     
       long edi;     
       long ebp;     
       long eax;     
       int  xds;     
       int  xes;     
       long orig_eax;
       long eip;     
       int  xcs;     
       long eflags;  
       long esp;     
       int  xss;     
   };
为什么编译hack_open.c时还会说没有名为“ebx”等成员呢？

Godbach

看一下完整的定义吧

#ifdef __i386__
/* this struct defines the way the registers are stored on the
   stack during a system call. */

#ifndef __KERNEL__

struct pt_regs {
        long ebx;
        long ecx;
        long edx;
        long esi;
        long edi;
        long ebp;
        long eax;
        int  xds;
        int  xes;
        int  xfs;
        int  xgs;
        long orig_eax;
        long eip;
        int  xcs;
        long eflags;
        long esp;
        int  xss;
};

#else /* __KERNEL__ */

struct pt_regs {
        unsigned long bx;
        unsigned long cx;
        unsigned long dx;
        unsigned long si;
        unsigned long di;
        unsigned long bp;
        unsigned long ax;
        unsigned long ds;
        unsigned long es;
        unsigned long fs;
        unsigned long gs;
        unsigned long orig_ax;
        unsigned long ip;
        unsigned long cs;
        unsigned long flags;
        unsigned long sp;
        unsigned long ss;
};

#endif /* __KERNEL__ */

Godbach

对比一下我实践通过的 2.6.18.3 的代码中和你当前源码的数据结构有什么不同吧

tanyayun

回复 83# Godbach


    对呀，我的源码的数据结构和你的一摸一样呀，好怪，为什么就说我的没有那几个成员呢

tanyayun

回复 83# Godbach


    我重新定义了三个变量取代了regs.ebx,regs.ecx,regs.edx，现在所有编译都成功了，呵呵，就是不知道我这种该法有没有其他隐患

ww2000e

Godbach

回复 85# tanyayun


   跑跑先。遇上 oops 了，正好也了解一下如何解决 oops 。

cuibixiong

强大，很好的学习了

menubada

【通过以上数据结构就可以得到系统调用中断发生时的中断处理例程的地址，即函数system_call()函数的地址： sys_call_off = idt.off2 << 16 | idt.off1】

请教，为什么计算system_call( )的地址时，没有使用到 16位的 sgement selector， 而是直接将off2作为存放system_call( )地址的代码段的基地址？

wangzhen11aaa

看过内核代码，看这些，心里有点底......