比如  sys_read().  目的是加入自己的其他函数 ,然后返回  继续执行.　　　　　　

想取代系统调用？

[ 本帖最后由 zltjiangshi 于 2007-10-26 20:37 编辑 ]　　　　　　

可以这么说，就是截获系统调用函数。用自己的函数处理一下 ，然后返回继续执行。。。　　　　　　

那是不可能的，你只能修改内核源代码，然后重新编译内核。

[ 本帖最后由 zltjiangshi 于 2007-10-26 21:04 编辑 ]　　　　　　

可以的吧  有的rootkit就是通过截获系统调用来实现的..
我看过类似的资料 只是没有说具体怎么修改 内核函数的执行地址!　　　　　　

内核的地址是受保护的，你一旦访问这种地址立刻得到一个general protect错误，然后你的程序就退出了，至于你说的截获系统调用，我更愿意相信是截获使用这个系统调用的库函数，然后执行自己的代码。

[ 本帖最后由 zltjiangshi 于 2007-10-26 21:08 编辑 ]　　　　　　

你说你看过这方面的资料，有没有链接？有的话提供一下，我也去学习学习。

[ 本帖最后由 zltjiangshi 于 2007-10-26 21:42 编辑 ]　　　　　　

http://www.hackhome.com/InfoView/Article_120592.html  
不明白是怎么修改函数入口地址的！！！在函数开头加入：   call  <自己函数的地址>  是怎么修改的？　　　　　　

从文章看来，是自己写一个内核模块，也就是说归根结底还是内核编程。
函数地址，那个文章说了，是通过sys_call_table获取到的。　　　　　　

是内核编程啊 ？ 就是其中在内核函数入口处  改为：call <自己的函数地址>  是怎么修改的a ?