本文介绍了通过系统调用拦截和硬件断点来定位用户进程被内核踩内存的问题。首先，详细阐述了如何找到并修改`sys_call_table`地址，包括使用`module_get_symbol_by_name`函数以及读取`/proc/kallsyms`文件。接着，讨论了在修改系统调用地址时需要修改内存页属性以确保可写。此外，还提到了内核中的硬件断点工具，帮助快速定位内存访问问题。
1、系统调用拦截
系统调用拦截的目的其实就是把系统真正要执行的系统调用替换为我们自己写的内核函数，这里有一篇博客，对此作了介绍，https://blog.youkuaiyun.com/zhangyifei216/article/details/49872861
系统调用拦截的两个问题，一个是找到sys_call_table地址，一个是修改内存页的属性，让其变为可写。
1）找sys_call_table地址
我们可以通过两种方法来查找sys_call_table地址：
一、使用kallsyms_lookup_name
使用kallsyms_lookup_name函数，来读取对应的sys_call_table的地址，但是kallsyms_lookup_name这个函数能否可以被我们使用，能否在我们写的内核模块中导出。
这要看内核代码中是否有加入EXPORT_SYMBOL。
EXPORT_SYMBOL标签内定义的函数或者符号对全部内核代码公开，
不用修改内核代码就可以在您的内核模块中直接调用，
即使用EXPORT_SYMBOL可以将一个函数以符号的方式导出给其他模块使用。
使用方法
第一、在模块函数定义之后使用EXPORT_SYMBOL（函数名）
第二、在掉用该函数的模块中使用extern对之声明
第三、首先加载定义该函数的模块，再加载调用该函数的模块
通过查看内
最低0.47元/天 解锁文章
扫一扫
694
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
