linux内核hook技术之函数地址替换

前言

    函数地址替换是一种更为简单、常见的hook方式，比如对security_ops、sys_call_table等结构中的函数进行替换，来完成自己的安全权限控制。

    其中security_ops是LSM框架中所使用的，sys_call_table是系统调用表结构。当然了，这些结构目前在内核中都已经是只读数据结构了，如果想直接进行函数替换的话，首先就是考虑解决关闭写保护的问题。在下面的模块例子中，演示了重置cr0寄存器写保护位 及其 修改内存页表项属性值两种关闭写保护方式，有兴趣的朋友可对照代码进行查阅。

    除此之外，linux内核还提供了一些注册函数，允许直接注册自己的钩子函数来实现各种功能，比如netfilter框架下的注册函数nf_register_hook等。

    接下来以替换sys_call_table中的sys_open为例来写了一个小模块，说明下如何进行函数地址替换以及写保护关闭。该模块已在centos6 系列系统编译并测试过，使用其他系统的朋友可能需要进行一些微调。

    使用insmod装载时，需要加上kallsyms_lookup_name_address参数，eg: insmod   **.ko   kallsyms_lookup_name_address=0x***，其中kallsyms_lookup_name_address的值可通过 cat /proc/kallsyms | grep kallsyms_lookup_name获取。

如何hook

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/kallsyms.h>
#include <linux/types.h>
#include <linux/cpu.h>
#include <linux/stop_machine