Linux伊甸园论坛 » Linux内核源代码学习 » 怎么获取内核函数执行的地址?

petsatan 发表于 2007-9-23 17:29

怎么获取内核函数执行的地址?

比如  sys_read().  目的是加入自己的其他函数 ,然后返回  继续执行.

zltjiangshi 发表于 2007-10-18 20:53

想取代系统调用？

[[i] 本帖最后由 zltjiangshi 于 2007-10-26 20:37 编辑 [/i]]

petsatan 发表于 2007-10-24 16:15

可以这么说，就是截获系统调用函数。用自己的函数处理一下 ，然后返回继续执行。。。

zltjiangshi 发表于 2007-10-24 16:47

那是不可能的，你只能修改内核源代码，然后重新编译内核。

[[i] 本帖最后由 zltjiangshi 于 2007-10-26 21:04 编辑 [/i]]

petsatan 发表于 2007-10-25 10:37

可以的吧  有的rootkit就是通过截获系统调用来实现的..
我看过类似的资料 只是没有说具体怎么修改 内核函数的执行地址!

zltjiangshi 发表于 2007-10-25 11:42

内核的地址是受保护的，你一旦访问这种地址立刻得到一个general protect错误，然后你的程序就退出了，至于你说的截获系统调用，我更愿意相信是截获使用这个系统调用的库函数，然后执行自己的代码。

[[i] 本帖最后由 zltjiangshi 于 2007-10-26 21:08 编辑 [/i]]

zltjiangshi 发表于 2007-10-25 11:45

你说你看过这方面的资料，有没有链接？有的话提供一下，我也去学习学习。

[[i] 本帖最后由 zltjiangshi 于 2007-10-26 21:42 编辑 [/i]]

petsatan 发表于 2007-10-27 23:32

[url]http://www.hackhome.com/InfoView/Article_120592.html[/url]  
不明白是怎么修改函数入口地址的！！！在函数开头加入：   call  <自己函数的地址>  是怎么修改的？

zltjiangshi 发表于 2007-10-28 13:29

从文章看来，是自己写一个内核模块，也就是说归根结底还是内核编程。
函数地址，那个文章说了，是通过sys_call_table获取到的。

petsatan 发表于 2007-10-28 20:51

是内核编程啊 ？ 就是其中在内核函数入口处  改为：call <自己的函数地址>  是怎么修改的a ?

zltjiangshi 发表于 2007-10-28 23:29

你只需要按照文章的说明写好代码即可，那个call是编译器产生的，call后面的地址是编译器从sys_call_table里面取出来的，已经帮你安置好了。

petsatan 发表于 2007-10-29 20:17

谢谢 我试试..

查看完整版本: 怎么获取内核函数执行的地址?