0x02 嵌入式---劫持系统调用函数进行文件隐藏

NoAss`

于 2019-10-30 09:00:11 发布

阅读量270

点赞数

分类专栏：嵌入式 Linux 文章标签： linux

本文链接：https://blog.youkuaiyun.com/q759451733/article/details/102811819

版权

嵌入式同时被 2 个专栏收录

15 篇文章

订阅专栏

Linux

9 篇文章

订阅专栏

本文介绍如何在内核内存中找到并替换系统调用表中的函数地址，以实现对特定系统调用如mkdir的自定义行为。通过关闭内存保护，修改sys_call_table中的函数指针，并重新开启内存保护，完成系统调用的劫持。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

寻找内核内存中系统调用表的内存地址sys_call_table ，调换该内存中某个函数地址
通过部分系统文件：more /boot/System.map-4.15.0-66-generic （4.15.0-66-generic是内核版本，可以通过uname -r查看）

	asmlinkage long (*real_mkdir)(const char __user *pathname,umode_t mode);
	asmlinkage long myself_mkdir(const char __user *pathname, umode_t mode)
	{
		....
	}
	write_cr0(read_cr0() & (~0x10000)); //关闭内存保护
	real_mkdir = (void *)sys_call_table[__NR_mkdir]; //real_mkdir 原mkdir调用的系统调用函数，提前保存原函数。
	sys_call_table[__NR_mkdir] = myself_mkdir; //将自定义的mkdir函数进行赋值给sys_call_table[__NR_mkdir] 。
	write_cr0(read_cr0() | 0x10000); //开启内存保护