关于内核模块卸载的问题

Godbach

回复 10# sky__sea

那应该加强入侵检测功能，把入侵的路子给堵上，而不是在入侵之后，防止人家卸载模块。

别人入侵之后，可以干很多事情，不止卸载模块吧。


   

nswcfd

kernel加载模块的时候注册了sysfs项，通过/sys/modules/是可以找到的。

至于怎么卸载，关键是得把模块加回到全局链表里（需要知道全局链表的首地址）。
模块里定义某个接口，无论是proc文件还是字符设备文件，或者增加新的系统调用，只要能触发添加操作就可以。

当然，这个后门如果被入侵者知道了，那就没啥效果了。

sky__sea

没办法，这个不是我说的算，

Godbach 发表于 2015-07-09 17:44
回复 10# sky__sea

那应该加强入侵检测功能，把入侵的路子给堵上，而不是在入侵之后，防止人家卸载模块 ...

sky__sea

你说的/sys/modules/没有这个目录啊，全局链表是有的，叫modules,但是是个静态变量，我没法用啊。

nswcfd 发表于 2015-07-09 20:20
kernel加载模块的时候注册了sysfs项，通过/sys/modules/是可以找到的。

至于怎么卸载，关键是得把模块加 ...

sky__sea

/proc/modules貌似是看不到的。

nswcfd 发表于 2015-07-09 20:20
kernel加载模块的时候注册了sysfs项，通过/sys/modules/是可以找到的。

至于怎么卸载，关键是得把模块加 ...

nswcfd

回复 14# sky__sea


/sys需要mount sysfs

之前笔误，是/sys/module，不是modules，没有s

全局变量modules没有导出，所以需要hack的手段确认其地址，例如通过System.map确定其地址，在代码里hard code对应的十六进制数。

或者假设加载模块的时候是在表头插入，那么this_modules的前一个list_head就是表头。

sky__sea

看得出来，nswcfd兄是高手，谢谢你的建议。但是通过System.map方式来获取的办法我不了解，难度有点大。倒是你说的第二种方法我也在考虑，可是如果确定首地址的确也是个问题，真麻烦。

nswcfd 发表于 2015-07-13 10:04
回复 14# sky__sea

sky__sea

我把state状态置为MODULE_STATE_GOING，这样rmmod就无法卸载了，大家看看这种办法可行吗？

nswcfd

应该是可以的，这个想法不错，赞一个。

类似的，不想被卸载的方法还可以强制增加模块的引用计数（但那样会导致rmmod无法返回）。

sky__sea

悲剧了，有问题。suse9是可以的，但是suse11就不行，一直报错：ERROR: Removing 'secureProof': Device or resource busy。因为我这个模块有和另外一个进程通过netlink通讯，但是我杀死这个进程之后，吧引用计数置为0，还是不行，始终包这个错，没辙了。

nswcfd 发表于 2015-07-15 21:27
应该是可以的，这个想法不错，赞一个。

类似的，不想被卸载的方法还可以强制增加模块的引用计数（但那样 ...