系统调用捕获和分析—使用LKM方法添加系统调用

本文为毕业设计过程中学习相关知识、动手实践记录下来的完整笔记，通过阅读本系列文章，您可以从零基础了解系统调用的底层原理并对系统调用进行拦截。由于本人能力有限，文章中可能会出现部分错误信息，如有错误欢迎指正。

完整系列文章列表
系统调用捕获和分析—通过ptrace获取系统调用信息
系统调用捕获和分析—通过strace获取系统调用信息
系统调用捕获和分析—必备的系统安全的知识点

文章目录

• LKM相关概念

• 什么是LKM
• 使用LKM可以干什么

• 用户态和内核态代码区别
• 管理内核模块
• 制作第一个LKM—helloworld
• 通过内核加载模块的方法添加一个系统调用

LKM相关概念

什么是LKM

LKM(Load Kernel Modules)是Linux内核为了扩展其功能所使用的可加载内核模块。
LKM的优点：动态加载，无须重新实现整个内核。
如果一个驱动程序被直接编译到了内核中，那么即使这个驱动程序没有运行，它的代码和静态数据也会占据一部分空间。但是如果这个驱动程序被编译成一个模块，就只有在需要内存并将其加载到内核时才会真正占用内存空间。

使用LKM可以干什么

如果想要自己向内核添加一个系统调用，有两种方法。
一是修改内核源码，然后重新编译整个内核来实现。少说一个小时！！！
二是使用LKM，可以编写并编译并连接成一组目标文件，这些文件能被插入到正在运行的内核，可省去编译新内核并用新内核重新启动的麻烦。

用户态和内核态代码区别

管理内核模块

使用insmod套件
列出所有内核模块​​​lsmod​​​ 加载或插入模块​​insmod ​​​ 删除模块​​rmmod​​

使用modprobe命令
获取模块信息 ​​​modinfo module_name​​​ 添加模块 ​​modprobe -a module_name​​​ 删除模块 ​​modporbe -r module_name​​

模块间的依赖关系
如果模块a引用了模块b，那么在加载的过程中如果先加载模块a再加载模块b，则会发生错误。
使用insmod就可能会发生这个错误，而modprobe由于自己的机制不同会智能地先加载模块b。

制作第一个LKM—helloworld

编写hello.c文件

#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/init.h>

static int __init hello_init(void){
    printk(KERN_INFO "Hello world\n");
    return 0;
}

static void __exit hello_exit(void){
    printk(KERN_INFO "Goodbye world\n");
}

module_init(hello_init);
module_exit(hello_exit);

MODULE_LICENSE("GPL");    //许可证

编写Makefile文件

obj-m := hello.o
  all:
  make -C /lib/modules/$(shell uname -r)/build M=$(shell pwd) modules
  clean:
  make -C /lib/modules/$(shell uname -r)/build M=$(shell pwd) clean

​​-C​​​ linux内核源代码的目录
​​​M=​​ hello.c和Makefile所在的目录

注意all和clean以两个空格开头，make以tab键开头

编译

make

查看编译生成的模块信息

modinfo hello.ko

装载，查看装载结果

insmod hello.ko
lsmod | grep hello

查看系统开机和内核模块装载信息，发现报错

dmesg

报错解决方案

在Makefile中第一行加入​​CONFIG_MODULE_SIG=n​​​关闭签名，insmode hello.ko时再次报错​​File exists​​，原因是刚才加载了同名文件没有卸载掉，卸载重装后成功。

sudo rmmod hello.ko sudo insmod hello.ko dmesg

查看日志信息
日志信息位置​​​/var/log/messages​​​，但是没有找到。
编辑​​​vim /etc/rsyslog.d/50-default.conf​​​，取消messages注释(好几行都取消注释)
重启服务​​​sudo service rsyslog restart​​​ 重装模块​​sudo rmmod hello.ko​​​， ​​sudo insmod hello.ko​​​​cat /var/log/messages​​找到信息

内核入门链接​​https://tldp.org/LDP/lkmpg/2.6/html/index.html​​

通过内核加载模块的方法添加一个系统调用

先查看自己本次开机后的sys_call_table的地址，待会放在代码里。需要注意地址0x不能省略，且每次重启地址都会变化。

sudo cat /proc/kallsyms | grep sys_call_table

编写hello.c文件

#include <linux/kernel.h>
#include <linux/init.h>
#include <linux/module.h>
#include <linux/unistd.h>
#include <linux/sched.h>
 
//许可证
MODULE_LICENSE("Dual BSD/GPL");

//获取当前sys_call_table地址 -> sudo cat /proc/kallsyms | grep sys_call_table
#define SYS_CALL_TABLE_ADDRESS 0xffffffffbc200280  //sys_call_table对应的地址
#define NUM 334  //添加的系统调用号为334
unsigned long orig_cr0;  //用来存储cr0寄存器原来的值
unsigned long *sys_call_table_my=0;
 
static unsigned long(*anything_saved)(void);  //定义一个函数指针，用来保存一个系统调用

//使cr0寄存器的第17位设置为0，让内核空间可写
static unsigned long clear_cr0(void) 
{
    unsigned long cr0=0;
    unsigned long ret;
    asm volatile("movq %%cr0,%%rax":"=a"(cr0));//将cr0寄存器的值移动到eax寄存器中，同时输出到cr0变量中
    ret=cr0;
    cr0&=0xfffffffffffeffff;//将cr0变量值中的第17位清0,将修改后的值写入cr0寄存器
    asm volatile("movq %%rax,%%cr0"::"a"(cr0));//将cr0变量的值作为输入，输入到寄存器eax中，同时移动到寄存器cr0中
    return ret;
}

//恢复cr0寄存器的值，设置为内核不可写
static void setback_cr0(unsigned long val)
{
    asm volatile("movq %%rax,%%cr0"::"a"(val));
}

//定义自己的系统调用
asmlinkage int sys_mycall(void) 
{   
    printk("模块系统调用-当前pid：%d，当前comm:%s\n",current->pid,current->comm);
    printk("hello,world!\n");
    return current->pid;    
}

//添加模块时执行的代码
static int __init call_init(void)
{
    sys_call_table_my=(unsigned long*)(SYS_CALL_TABLE_ADDRESS);
    printk("call_init......\n");
    anything_saved=(unsigned long(*)(void))(sys_call_table_my[NUM]);//保存系统调用表中的NUM位置上的系统调用
    orig_cr0=clear_cr0();//使内核地址空间可写
    sys_call_table_my[NUM]=(unsigned long) &sys_mycall;//用自己的系统调用替换NUM位置上的系统调用
    setback_cr0(orig_cr0);//使内核地址空间不可写
    return 0;
}

//卸载模块时执行的代码
static void __exit call_exit(void)
{
    printk("call_exit......\n");
    orig_cr0=clear_cr0();
    sys_call_table_my[NUM]=(unsigned long)anything_saved;//将系统调用恢复
    setback_cr0(orig_cr0);
}
 
module_init(call_init);
module_exit(call_exit);

代码相关解释
1、module_init在insmod时调用，module_exit在rmmod时调用

2、C语言中内嵌汇编语法格式

asm (assembler template :output operands /* optional */ :input operands /* optional */ :list of clobbered registers /* optional */ );

3、movl 操作32位数据，movq 操作64位数据

4、CR寄存器

CR0～CR3是控制寄存器，用于控制和确定处理器的操作模式以及当前执行任务的特性。 CR0中含有控制处理器操作模式和状态的系统控制标志； CR1保留不用； CR2含有导致页错误的线性地址； CR3中含有页目录表物理内存基地址，因此该寄存器也被称为页目录基地址寄存器PDBR（Page-Directory Base addressRegister）。

5、系统调用号的选择
由于需要查看添加的系统调用号是多少，网上说/usr/include/asm/unistd_32.h文件中有，
但是比较高的版本内核里的这个文件中的内容和网上说的不太一样，所以这里使用上一次编译好的4.13.10版本内核。
添加的系统调用号为334，即原本系统调用号到333，这里使用334新添加一个系统调用号。
在​​​linux-source-4.13.0/arch/x86/entry/syscalls​​​下的​​syscall_64.tbl​​​文件中查看。
当然也可以选择原有的内核版本，只不过没有源码看不到系统调用号信息，但是可以猜一个。

编写Makefile文件

CONFIG_MODULE_SIG=n
obj-m:=hello.o
CURRENT_PATH:=$(shell pwd)
LINUX_KERNEL_PATH:=/lib/modules/$(shell uname -r)/build
all:
  make -C  $(LINUX_KERNEL_PATH) M=$(CURRENT_PATH) modules
clean:
  make -C  $(LINUX_KERNEL_PATH) M=$(CURRENT_PATH) clean

编译并加载模块

sudo make
sudo insmod hello.ko
lsmod | grep hello  查看添加模块的信息
dmesg  获取内核信息

测试系统调用，编写lab.c

#include<stdio.h>
#include<stdlib.h>
#include<linux/kernel.h>
#include<sys/syscall.h>
#include<unistd.h>
 
int main(){
    int x = 0;
    x = syscall(334);        //测试334号系统调用
    printf("res = %d\n", x);
    return 0;
}

编译运行，查看dmesg的信息

gcc lab.c -o lab
./lab
dmesg