Linux监控文件读写

最新推荐文章于 2025-10-29 21:37:51 发布

原创

最新推荐文章于 2025-10-29 21:37:51 发布 · 5.4k 阅读

21 ·

CC 4.0 BY-SA版权

文章标签：

#hook #监控文件读写 #Linux #deepin

前言

最近想写deepin编程比赛中的文件管控系统。

如何去监测目标文件，我思考了很久仍没有头绪，翻了翻开发大赛入围名单，发现马艺诚同学使用了hook方法来监测进程操作目标文件。于是下午试了试，确实可行（毕竟人家已经做出来了嘛）。下面讲解一下我下午尝试的read检测功能。

正文

废话不多说，先贴代码。

#include <stdio.h>
#include <string.h>
#include <dlfcn.h>
#include <sys/stat.h>
#include <unistd.h>
#include <sys/types.h>
#include <fcntl.h>

typedef ssize_t (*READ)(int, void *buf, size_t count);
 
ssize_t read(int fd, void *buf, size_t count)
{
  static void *handle = NULL;
  static READ old_read = NULL;
 
  if( !handle )
  {
    handle = dlopen("libc.so.6", RTLD_LAZY);
    old_read = (READ)dlsym(handle, "read");
    char fdaddr[256];
    sprintf(fdaddr, "/proc/%d/fd/%d", getpid(), fd);
    char realaddr[256] = {0};
    readlink(fdaddr, realaddr, 256);
    if(strcmp("/home/ciaiy/Desktop/codingspace/fc/test.c", realaddr) == 0){
      printf("非法侵入\n");
    }
  }
  return old_read(fd