* _system_call()是如何工作的 ?

　　首先, 所有的寄存器被保存并且%eax寄存器全面檢查系統(tǒng)調(diào)用表, 這張表列舉了所有的系統(tǒng)調(diào)用和他們的地址信息。它可以通過(guò)extern void *sys_call_table[]來(lái)被訪問(wèn)到。 該表中的每個(gè)定義的數(shù)值和內(nèi)存地址都對(duì)應(yīng)每個(gè)系統(tǒng)調(diào)用。大家可以在/usr/include/sys/syscall.h這個(gè)頭中找到系統(tǒng)調(diào)用的標(biāo)示數(shù)。他們對(duì)應(yīng)相應(yīng)的SYS_systemcall名。假如一個(gè)系統(tǒng)調(diào)用不存在, 那么它在sys_call_table中相應(yīng)的標(biāo)示就為0, 并且返回一個(gè)出錯(cuò)信息。否則,系統(tǒng)調(diào)用存在并在表里相應(yīng)的入口為系統(tǒng)調(diào)用代碼的內(nèi)存地址。

　　這兒是一個(gè)有問(wèn)題的系統(tǒng)調(diào)用例程:

[root@plaguez kernel]# cat no1.c
#include
            
            
#include 
#include 
extern void *sys_call_table[];
sc()
{ // 165這個(gè)系統(tǒng)調(diào)用號(hào)是不存在的。
    __asm__(
        "movl $165,%eax
             int $0x80");
}
main()
{
    errno = -sc();
    perror("test of invalid syscall");
}
[root@plaguez kernel]# gcc no1.c
[root@plaguez kernel]# ./a.out
test of invalid syscall: Function not implemented
[root@plaguez kernel]# exit 

　　系統(tǒng)控制權(quán)就會(huì)轉(zhuǎn)向真正的系統(tǒng)調(diào)用, 用來(lái)完成你的請(qǐng)求并返回。 然后_system_call()調(diào)用_ret_from_sys_call()來(lái)檢查不同的返回值, 并且返回到用戶內(nèi)存。

　　* libc

　　這int $0x80 并不是直接被用作系統(tǒng)調(diào)用; 更確切地是, libc函數(shù),經(jīng)常用來(lái)包裝0x80中斷,這樣使用的。

　　libc通常利用_syscallX()宏來(lái)描述系統(tǒng)調(diào)用, X是系統(tǒng)調(diào)用的總參數(shù)個(gè)數(shù)。

　　舉個(gè)例子吧, libc中的write(2)就是利用_syscall3這個(gè)系統(tǒng)調(diào)用宏來(lái)實(shí)現(xiàn)的, 因?yàn)閷?shí)際的write(2)原型需要3個(gè)參數(shù)。在調(diào)用0x80中斷之前，這個(gè)_syscallX宏假定系統(tǒng)調(diào)用的堆棧結(jié)構(gòu)和要求的參數(shù)列表，，當(dāng)_system_call()(通過(guò)int &0x80來(lái)引發(fā))返回的時(shí)候，_syscallX()宏將會(huì)查出錯(cuò)誤的返回值（在%eax）并且為其設(shè)置errno。

讓我們看一下另一個(gè)write(2)例程并看看它是如何進(jìn)行預(yù)處理的。

[root@plaguez kernel]# cat no2.c
#include
            
            
#include
            
            
#include 
#include 
#include 
#include 
#include 
#include 
#include 
_syscall3(ssize_t,write,int,fd,const void *,buf,size_t,count);/*構(gòu)建一個(gè)write調(diào)用*/
main()
{
    char *t = "this is a test.\n";
    write(0, t, strlen(t));
}
[root@plaguez kernel]# gcc -E no2.c > no2.C
[root@plaguez kernel]# indent no2.C -kr
indent:no2.C:3304: Warning: old style assignment ambiguity in "=-".  Assuming "= -"
[root@plaguez kernel]# tail -n 50 no2.C
            
 
            
#9 "no2.c" 2
            

ssize_t write(int fd, const void *buf, size_t count)
{
    long __res;
    __asm__ __volatile("int $0x80":"=a"(__res):"0"(4), "b"((long) (fd)),
            "c"((long) (buf)), "d"((long) (count)));
    if (__res >= 0)
    return (ssize_t) __res;
    errno = -__res;
    return -1;
};
main()
{
    char *t = "this is a test.\n";
    write(0, t, strlen(t));
}
[root@plaguez kernel]# exit
            

　　注意那個(gè)write()里的"0"這個(gè)參數(shù)匹配SYS_write，在/usr/include/sys/syscall.h中定義。

　　* 構(gòu)建你自己的系統(tǒng)調(diào)用。

　　這里給出了幾個(gè)構(gòu)建你自己的系統(tǒng)調(diào)用的方法。舉個(gè)例子, 你可以修改內(nèi)核代碼并且加入你自己的代碼。一個(gè)比較簡(jiǎn)單可行的方法, 不過(guò), 一定要被寫成可加載內(nèi)核模塊。

　　沒(méi)有一個(gè)代碼可以象可加載內(nèi)核模塊那樣可以當(dāng)內(nèi)核需要的時(shí)候被隨時(shí)加載的。

　　我們的主要意圖是需要一個(gè)很小的內(nèi)核,當(dāng)我們需要的時(shí)候運(yùn)行insmod命令，給定的驅(qū)動(dòng)就可以被自動(dòng)加載。這樣卸除來(lái)的lkm程序一定比在內(nèi)核代碼樹(shù)里寫代碼要簡(jiǎn)單易行多了。

　　* 寫lkm程序

　　一個(gè)lkm程序可以用c來(lái)很容易編寫出來(lái)。它包含了大量的 #defines, 一些函數(shù), 一個(gè)初始化模塊的函數(shù)，叫做init_module()，和一個(gè)卸載函數(shù)：cleanup_module()。

這里有一個(gè)經(jīng)典的lkm代碼結(jié)構(gòu):

#define MODULE
#define __KERNEL__
#define __KERNE_SYSCALLS__
#include
            
            
#ifdef MODULE
#include
            
            
#include
            
            
#else
#define MOD_INC_USE_COUNT
#define MOD_DEC_USE_COUNT
#endif
#include
            
            
#include
            
            
#include
            
            
#include
            
            
#include 
#include 
#include
            
            
#include 
#include 
#include 
#include 
#include 
#include  
int errno;
char tmp[64];
/* 假如，我們要用到ioctl調(diào)用 */
_syscall3(int, ioctl, int, d, int, request, unsigned long, arg);
int myfunction(int parm1,char *parm2)
{
   int i,j,k;
   /* ... */
}
int init_module(void)
{
   /* ... */
   printk("\nModule loaded.\n");
   return 0;
}
void cleanup_module(void)
{
   /* ... */
}
檢查代碼中的 #defines (#define MODULE, #define __KERNEL__)和
#includes (#include
            
            ...)

　　一定要注意的是我們的lkm講要被運(yùn)行在內(nèi)核狀態(tài),我們就不能用libc包裝的函數(shù)了, 但是我們可以通過(guò)前面所討論的_syscallX()宏來(lái)構(gòu)建系統(tǒng)調(diào)用。

　　你可以這樣編譯你的模塊'gcc -c -O3 module.c' 并且利用'insmod module.o'來(lái)加載。

　　提一個(gè)建議, lkm也可以用來(lái)在不完全重建核心代碼的情況下來(lái)修改內(nèi)核代碼。舉個(gè)例子, 你可以修改write系統(tǒng)調(diào)用讓它隱藏一部分給定的文件，就象我們把我們的backdoors放到一個(gè)非常好的地方：當(dāng)你無(wú)法再信任你的系統(tǒng)內(nèi)核的時(shí)候會(huì)怎么樣呢？

　　* 內(nèi)核和系統(tǒng)調(diào)用后門

　　在簡(jiǎn)單介紹了上述理論，我們主要可以用來(lái)做什么呢。我們可以利于lkm截獲一些對(duì)我們有影響的系統(tǒng)調(diào)用, 這樣可以強(qiáng)制內(nèi)核按照我們的方式運(yùn)行。例如：我們可以利用ioctl系統(tǒng)調(diào)用來(lái)隱藏sniffer所造成的網(wǎng)卡PROMISC模式的顯示。非常有效。

　　去改變一個(gè)給定的系統(tǒng)調(diào)用,只需要在你的lkm程序中增加一個(gè)定義extern void *sys_call_table[],并且利用init_module()函數(shù)來(lái)改變sys_call_table里的入口來(lái)指向我們自己的代碼。改變后的調(diào)用可以做我們希望它做的一切事情, 利用改變sys_call_table來(lái)導(dǎo)出更多的原系統(tǒng)調(diào)用，并且。。。。

　　譯者后話：這篇文章相對(duì)比較淺顯易懂，所以可以作為大家入門lkm編程來(lái)用，它著重講述了linux系統(tǒng)調(diào)用system call的原理，以及我們?nèi)绾瓮ㄟ^(guò)lkm來(lái)截獲它并換成我們想要的代碼來(lái)建立后門程序。再次強(qiáng)調(diào)本文的依據(jù)是linux內(nèi)核版本2.0.x，大家在自己系統(tǒng)實(shí)現(xiàn)時(shí)請(qǐng)對(duì)比內(nèi)核代碼來(lái)做改變。