[Linux]深入浅出解析Linux内核模块编程从HelloWorld到进程拦截实战

最新推荐文章于 2025-11-14 16:33:41 发布

原创最新推荐文章于 2025-11-14 16:33:41 发布 · 401 阅读

7 ·

CC 4.0 BY-SA版权

文章标签：

#硬件工程

Linux内核模块编程入门：从Hello World开始

Linux内核模块是一种可以在运行时动态加载到内核中的代码，用于扩展内核功能，而无需重新编译整个内核或重启系统。这为开发人员提供了极大的灵活性。通过编写内核模块，我们可以深入了解操作系统底层的工作原理。

编写第一个内核模块：Hello World

任何编程学习之旅都从Hello World开始，内核模块编程也不例外。下面是一个最简单的内核模块示例：

创建一个名为`hello.c`的文件：

```#include #include #include MODULE_LICENSE(GPL);MODULE_AUTHOR(Your Name);MODULE_DESCRIPTION(A simple Linux driver);static int __init hello_init(void) { printk(KERN_INFO Hello, World!\n); return 0;}static void __exit hello_exit(void) { printk(KERN_INFO Goodbye, World!\n);}module_init(hello_init);module_exit(hello_exit);```

这个简单的模块包含两个基本函数：`hello_init`在模块加载时执行，`hello_exit`在模块卸载时执行。`printk`是内核中的打印函数，类似于用户空间的`printf`。

编译内核模块：Makefile的编写

编译内核模块需要使用特定的编译选项和内核头文件。创建一个简单的Makefile：

```obj-m += hello.oall: make -C /lib/modules/$(shell uname -r)/build M=$(PWD) modulesclean: make -C /lib/modules/$(shell uname -r)/build M=$(PWD) clean```

使用`make`命令编译模块，将生成`hello.ko`文件，这就是我们的内核模块。

加载和卸载模块

使用以下命令管理模块：

加载模块：`sudo insmod hello.ko`

查看模块：`lsmod | grep hello`

查看内核日志：`dmesg | tail`（可以看到Hello, World!消息）

卸载模块：`sudo rmmod hello`

再次查看日志：`dmesg | tail`（可以看到Goodbye, World!消息）

深入内核模块编程

掌握了基本的模块编写和加载后，我们可以探索更复杂的功能，如字符设备驱动、文件操作等。

字符设备驱动示例

下面是一个简单的字符设备驱动示例，它创建了一个可以通过文件系统访问的设备：

```#include #include #include #include #define DEVICE_NAME mydevicestatic int major;static struct class myclass;static struct cdev mycdev;static int device_open(struct inode inode, struct file file) { printk(KERN_INFO Device opened\n); return 0;}static struct file_operations fops = { .owner = THIS_MODULE, .open = device_open,};static int __init mydevice_init(void) { // 分配设备号 alloc_chrdev_region(&major, 0, 1, DEVICE_NAME); // 创建字符设备 cdev_init(&mycdev, &fops); cdev_add(&mycdev, major, 1); // 创建设备节点 myclass = class_create(THIS_MODULE, DEVICE_NAME); device_create(myclass, NULL, major, NULL, DEVICE_NAME); printk(KERN_INFO Device driver loaded\n); return 0;}static void __exit mydevice_exit(void) { device_destroy(myclass, major); class_destroy(myclass); cdev_del(&mycdev); unregister_chrdev_region(major, 1); printk(KERN_INFO Device driver unloaded\n);}module_init(mydevice_init);module_exit(mydevice_exit);```

进程拦截实战

进程拦截是内核编程的高级应用之一，可以用于监控或修改进程行为。下面介绍如何使用系统调用拦截实现简单的进程监控。

系统调用拦截原理

系统调用拦截的基本原理是修改系统调用表，将原始系统调用替换为自定义函数。这样，当应用程序调用该系统调用时，会先执行我们的拦截函数。

实现进程创建拦截

下面的示例演示如何拦截`fork`系统调用，监控进程创建：

```#include #include #include #include #include unsigned long sys_call_table;typedef asmlinkage long (orig_fork_t)(struct pt_regs regs);orig_fork_t orig_fork;asmlinkage long hooked_fork(struct pt_regs regs) { printk(KERN_INFO Process %d is forking\n, current->pid); return orig_fork(regs);}static int __init interceptor_init(void) { // 获取系统调用表地址（方法因内核版本而异） // 注意：这是一个简化示例，实际应用中需要考虑安全性 // 保存原始fork系统调用 orig_fork = (orig_fork_t)sys_call_table[__NR_fork]; // 禁用写保护 write_cr0(read_cr0() & (~0x10000)); // 替换系统调用 sys_call_table[__NR_fork] = (unsigned long)hooked_fork; // 启用写保护 write_cr0(read_cr0() | 0x10000); printk(KERN_INFO Process interceptor loaded\n); return 0;}static void __exit interceptor_exit(void) { // 恢复原始系统调用 write_cr0(read_cr0() & (~0x10000)); sys_call_table[__NR_fork] = (unsigned long)orig_fork; write_cr0(read_cr0() | 0x10000); printk(KERN_INFO Process interceptor unloaded\n);}module_init(interceptor_init);module_exit(interceptor_exit);```