redhat enterPrise linux 5的系统调用劫持

sealdad

我用linux2.6 系统调用劫持的代码，去劫持redhat enterPrise linux 5。


system_call=(offset_high<<16)|offset_low;   

shell=(char *)system_call;   
sort="\xff\x14\x85";   
  
for(i=0;i<(100-2);i++)   
     if(shell==sort[0]&&shell[i+1]==sort[1]&&shell[i+2]==sort[2])   
             break;  

代码运行到for循环的时候，系统就崩了，但是同样的代码在redhat enterPrise linux 4上运行就是好的。
是不是redhat enterPrise linux 5对系统调用表有什么特殊的保护啊？
有谁做过redhat enterPrise linux 5的系统调用劫持吗？

Godbach

2.6上对系统调用做了保护，不会随意就让你替换的

sealdad

原帖由 Godbach 于 2009-9-24 10:47 发表
2.6上对系统调用做了保护，不会随意就让你替换的

redhat EnterPrise linux 4也是linux2.6 ，arch linux也有linux2.6的版本。都是可以的。
我的archlinux的内核版本还比redhat EnterPrise linux 5版本要高，都是可以的。

应该不是linux本身的问题

caravsapm70

不是内核本身问题。在as4和as5还是suse10上面都做过。记得在寻找调用表上，这三个系统都是一样的。

sealdad

原帖由 caravsapm70 于 2009-9-24 10:54 发表
不是内核本身问题。在as4和as5还是suse10上面都做过。记得在寻找调用表上，这三个系统都是一样的。

是啊，感觉也应该是一样的才对啊~~~

sealdad

下面是系统调用劫持的代码，通用的那种：

1. #include <linux/kernel.h>   
   
2. #include <linux/module.h>   
   
3. #include <linux/init.h>   
   
4. #include <linux/sched.h>   
   
5. #include <asm/unistd.h>   
   
6.   
   
7. MODULE_LICENSE("GPL");   
   
8. MODULE_AUTHOR("xunil@bmy");   
   
9. MODULE_DESCRIPTION("Different from others, this module automatically locate the entry of  sys_call_table !");   
   
10.   
    
11. unsigned long *sys_call_table=NULL;   
    
12. asmlinkage int (*orig_mkdir)(const char *,int);   
    
13.   
    
14. struct _idt   
    
15. {   
    
16. unsigned short offset_low,segment_sel;   
    
17. unsigned char reserved,flags;   
    
18. unsigned short offset_high;   
    
19. };   
    
20.   
    
21. unsigned long *getscTable(){   
    
22.         unsigned char idtr[6],*shell,*sort;   
    
23.         struct _idt *idt;   
    
24.         unsigned long system_call,sct;   
    
25.         unsigned short offset_low,offset_high;   
    
26.         char *p;   
    
27.         int i;   
    
28.   
    
29.   
    
30.         /* get the interrupt descriptor table */  
    
31.   
    
32.   
    
33.         __asm__("sidt %0" : "=m" (idtr));   
    
34.   
    
35.   
    
36.         /* get the address of system_call */  
    
37.         idt=(struct _idt*)(*(unsigned long*)&idtr[2]+8*0x80);   
    
38.         offset_low = idt->offset_low;   
    
39.         offset_high = idt->offset_high;   
    
40.         system_call=(offset_high<<16)|offset_low;   
    
41.   
    
42.   
    
43.         shell=(char *)system_call;   
    
44.         sort="\xff\x14\x85";   
    
45.   
    
46.   
    
47.         /* get the address of sys_call_table */  
    
48.   
    
49.         for(i=0;i<(100-2);i++)   
    
50.                 if(shell==sort[0]&&shell[i+1]==sort[1]&&shell[i+2]==sort[2])   
    
51.                         break;   
    
52.   
    
53.         p=&shell;   
    
54.         p+=3;   
    
55.         sct=*(unsigned long*)p;   
    
56.   
    
57.         return (unsigned long*)(sct);   
    
58. }   
    
59.   
    
60. asmlinkage int hacked_mkdir(const char * pathname, int mode){   
    
61.         printk("PID %d called sys_mkdir !\n",current->pid);   
    
62.         return orig_mkdir(pathname,mode);   
    
63. }   
    
64.   
    
65. static int __init find_init(void){   
    
66.         sys_call_table = getscTable();   
    
67.         orig_mkdir=(int(*)(const char*,int))sys_call_table[__NR_mkdir];   
    
68.         sys_call_table[__NR_mkdir]=(unsigned long)hacked_mkdir;   
    
69.         return 0;   
    
70. }   
    
71.   
    
72. static void __exit find_cleanup(void){   
    
73.         sys_call_table[__NR_mkdir]=(unsigned long)orig_mkdir;   
    
74. }   
    
75.   
    
76. module_init(find_init);   
    
77. module_exit(find_cleanup);

复制代码

帮忙看下有什么问题没有？？

sealdad

还是说as5里边打了什么补丁了，禁止调用劫持了？

Godbach

你劫持的那个调用，内核版本是多少，2.6.18吗

Godbach

哦，是mkdir啊，我试一把

sealdad

原帖由 Godbach 于 2009-9-24 11:03 发表
你劫持的那个调用，内核版本是多少，2.6.18吗

对