Linux x86平台获取sys_call_table

文章目录

  • 前言
  • 一、根据call *sys_call_table来获取
  • 二、使用dump_stack
  • 三、使用sys_close
  • 参考资料

前言

Linux 3.10.0 – x86_64

最简单获取sys_call_table符号的方法：

# cat /proc/kallsyms | grep sys_call_table
ffffffff816beee0 R sys_call_table

一、根据call *sys_call_table来获取

（1）

// linux-3.10/arch/x86/kernel/entry_64.S

/*
 * Register setup:
 * rax  system call number
 * rdi  arg0
 * rcx  return address for syscall/sysret, C arg3
 * rsi  arg1
 * rdx  arg2
 * r10  arg3 	(--> moved to rcx for C)
 * r8   arg4
 * r9   arg5
 * r11  eflags for syscall/sysret, temporary for C
 * r12-r15,rbp,rbx saved by C code, not touched.
 *
 * Interrupts are off on entry.
 * Only called from user space.
 *
 * XXX	if we had a free scratch register we could save the RSP into the stack frame
 *      and report it properly in ps. Unfortunately we haven't.
 *
 * When user can change the frames always force IRET. That is because
 * it deals with uncanonical addresses better. SYSRET has trouble
 * with them due to bugs in both AMD and Intel CPUs.
 */

ENTRY(system_call)
......
system_call_fastpath:
	......
	movq %r10,%rcx
	call *sys_call_table(,%rax,8)  # XXX:	 rip relative
	movq %rax,RAX-ARGOFFSET(%rsp)
	......

在进入system_call时，中断被禁用。system_call仅从用户空间调用。系统调用通过指令syscall来执行。

在x86_64架构的用户空间下进行系统调用时，常用的寄存器如下：

rax：系统调用号（syscall number）放置在rax寄存器中，用于指定要调用的特定系统调用。
rdi：第一个参数（arg0）。在系统调用期间，用户提供的第一个参数通常存储在rdi寄存器中。
rsi：第二个参数（arg1）。用户提供的第二个参数通常存储在rsi寄存器中。
rdx：第三个参数（arg2）。用户提供的第三个参数通常存储在rdx寄存器中。
r10、r8、r9：第四、五、六个参数（arg3、arg4、arg5）。用户提供的第四、五、六个参数通常存储在r10、r8和r9寄存器中。

rcx：系统调用的返回地址。在进行系统调用时，将返回地址存储在rcx寄存器中，以便在系统调用完成后返回到正确的位置。
r11：用于存储eflags寄存器的值。在进行系统调用前，将当前eflags寄存器的值保存在r11寄存器中，以便在系统调用完成后恢复它。

用户空间函数调用：

rax：返回值  参数传递：rdi,rsi,rdx,rcx,r8,r9

用户空间系统调用：

rax：系统调用号  参数传递：rdi,rsi,rdx,r10、r8、r9  (rcx -> r10)

（2）
在x86_64架构中，调用sys_call_table的机器码操作是通过间接调用（indirect call）指令来实现的。具体的操作码是ff 14 c5，其表示的汇编指令是callq *%rax。

这条指令的作用是从rax寄存器中获取一个指针地址，然后跳转到该地址执行代码。在这种情况下，我们假设rax寄存器中存储了sys_call_table的地址，以便通过间接调用来调用相应的系统调用函数。

我们通过crash调试便可以获取到sys_call_table的地址：
在这里插入图片描述
由上面的汇编代码：

system_call
	-->system_call_fastpath
		-->call *sys_call_table(,%rax,8)

我们反汇编system_call_fastpath：

crash> dis system_call_fastpath
0xffffffff816b4fb3 <system_call_fastpath>:      cmp    $0x146,%rax
0xffffffff816b4fb9 <system_call_fastpath+6>:    ja     0xffffffff816b5081 <badsys>
0xffffffff816b4fbf <system_call_fastpath+12>:   mov    %r10,%rcx
0xffffffff816b4fc2 <system_call_fastpath+15>:   callq  *-0x7e941120(,%rax,8)
0xffffffff816b4fc9 <system_call_fastpath+22>:   mov    %rax,0x20(%rsp)

可以看到在地址0xffffffff816b4fc2，调用call *sys_call_table(,%rax,8)，然后读取内存地址0xffffffff816b4fc2的值：

crash> rd -64 0xffffffff816b4fc2
ffffffff816b4fc2:  48816beee0c514ff                    .....k.H

call的操作码是0xff14c5，后面就是sys_call_table的地址0x816beee0
因此sys_call_table的地址是0xffffffff816beee0。

（3）
我们也可以借助vmlinux来objdump来获取其地址：

# ./extract-vmlinux vmlinuz-3.10.0-693.el7.x86_64 > vmlinux
# objdump -d vmlinux > vmlinux.txt
# vim vmlinux.txt

我们根据 ff 14 c5 指令码来搜索，上一条指令且是movq %r10,%rcx：

	movq %r10,%rcx
	call *sys_call_table(,%rax,8)  # XXX:	 rip relative

ffffffff816b4fbf:       4c 89 d1                mov    %r10,%rcx
ffffffff816b4fc2:       ff 14 c5 e0 ee 6b 81    callq  *-0x7e941120(,%rax,8)

可以看到 ff 14 c5 机器码后面的地址就是sys_call_table的地址0x816beee0（x86_64是小端机器）。
因此sys_call_table的地址是0xffffffff816beee0。

二、使用dump_stack

#include <linux/module.h>
#include <linux/kallsyms.h>
#include <linux/kernel.h>

static int __init lkm_init(void)
{
	dump_stack();
	return 0;
}


static void __exit lkm_exit(void)
{
	
}

module_init(lkm_init);
module_exit(lkm_exit);

MODULE_LICENSE("GPL");

[ 7666.386756] Call Trace:
[ 7666.386761]  [<ffffffff816a3d91>] dump_stack+0x19/0x1b
[ 7666.386762]  [<ffffffffc01f3009>] lkm_init+0x9/0x1000 [sys_call_table]
[ 7666.386764]  [<ffffffff810020e8>] do_one_initcall+0xb8/0x230
[ 7666.386766]  [<ffffffff81100734>] load_module+0x1f64/0x29e0
[ 7666.386769]  [<ffffffff8134bbf0>] ? ddebug_proc_write+0xf0/0xf0
[ 7666.386770]  [<ffffffff810fcdd3>] ? copy_module_from_fd.isra.42+0x53/0x150
[ 7666.386772]  [<ffffffff81101366>] SyS_finit_module+0xa6/0xd0
[ 7666.386774]  [<ffffffff816b4fc9>] system_call_fastpath+0x16/0x1b

我们就可以看到 system_call_fastpath+0x16 的地址是0xffffffff816b4fc9，因此system_call_fastpath的地址是：

0xffffffff816b4fc9 - 0x16 = 0xffffffff816b4fb3

我们可以从/proc/kallsyms验证：

# cat /proc/kallsyms | grep system_call_fastpath
ffffffff816b4fb3 t system_call_fastpath

system_call_fastpath:
#if __SYSCALL_MASK == ~0
	cmpq $__NR_syscall_max,%rax
#else
	andl $__SYSCALL_MASK,%eax
	cmpl $__NR_syscall_max,%eax
#endif
	ja badsys
	movq %r10,%rcx
	call *sys_call_table(,%rax,8)  # XXX:	 rip relative

这里我们简单点，从上面的crash可以看到：

crash> dis system_call_fastpath
0xffffffff816b4fb3 <system_call_fastpath>:      cmp    $0x146,%rax
0xffffffff816b4fb9 <system_call_fastpath+6>:    ja     0xffffffff816b5081 <badsys>
0xffffffff816b4fbf <system_call_fastpath+12>:   mov    %r10,%rcx
0xffffffff816b4fc2 <system_call_fastpath+15>:   callq  *-0x7e941120(,%rax,8)

call *sys_call_table 在 system_call_fastpath 的 0xf(15)处。

#include <linux/module.h>
#include <linux/kallsyms.h>
#include <linux/kernel.h>

static int __init lkm_init(void)
{
	int i;
	unsigned char *ptr;

	ptr = (unsigned char *)(0xffffffff816b4fc9 - 0x16 + 0xf);

	for (i = 0; i < 8; i ++) {
			//printk("%02x ", (unsigned char)ptr[i]);
			printk("%02x ", (unsigned char)*(ptr + i));
	}

	return 0;
}


static void __exit lkm_exit(void)
{

}

module_init(lkm_init);
module_exit(lkm_exit);

MODULE_LICENSE("GPL");

(unsigned char)ptr[i]) = (unsigned char)*(ptr + i))

# insmod sys_call_table.ko
[# dmesg -c
[ 8416.858466] ff 14 c5 e0 ee 6b 81 48

可以看到 ff 14 c5 机器码后面的地址就是sys_call_table的地址0x816beee0（x86_64是小端机器）。
因此sys_call_table的地址是0xffffffff816beee0。

或者直接搜索：

#include <linux/module.h>
#include <linux/kallsyms.h>
#include <linux/kernel.h>

static int __init lkm_init(void)
{
	int i, j;
	unsigned char *ptr;

	ptr = (unsigned char *)(0xffffffff816b4fc9 - 0x16 + 0xf);

 	for (i = 0; i < 20; i ++) {

		if( ((unsigned char)ptr[i] == 0xff) && ((unsigned char)ptr[i + 1] == 0x14) && ((unsigned char)ptr[i +2] == 0xc5) ){
			printk("0x%x ", *(unsigned int *)(ptr+i+3));
			break;
		}
	} 


	return 0;
}


static void __exit lkm_exit(void)
{

}

module_init(lkm_init);
module_exit(lkm_exit);

MODULE_LICENSE("GPL");

# insmod sys_call_table.ko
# dmesg -c
[  280.502659] 0x816beee0

因此sys_call_table的地址是0xffffffff816beee0。

三、使用sys_close

// linux-3.10/fs/open.c

/*
 * Careful here! We test whether the file pointer is NULL before
 * releasing the fd. This ensures that one clone task can't release
 * an fd while another clone is opening it.
 */
SYSCALL_DEFINE1(close, unsigned int, fd)
{
	int retval = __close_fd(current->files, fd);

	/* can't restart close syscall because file table entry was cleared */
	if (unlikely(retval == -ERESTARTSYS ||
		     retval == -ERESTARTNOINTR ||
		     retval == -ERESTARTNOHAND ||
		     retval == -ERESTART_RESTARTBLOCK))
		retval = -EINTR;

	return retval;
}
EXPORT_SYMBOL(sys_close);

EXPORT_SYMBOL(sys_close);

系统调用函数（sys_close）在内核中是导出的，因此可以直接获取其地址。

// linux-3.10/arch/x86/include/asm/page_64_types.h

/*
 * Set __PAGE_OFFSET to the most negative possible address +
 * PGDIR_SIZE*16 (pgd slot 272).  The gap is to allow a space for a
 * hypervisor to fit.  Choosing 16 slots here is arbitrary, but it's
 * what Xen requires.
 */
#define __PAGE_OFFSET           _AC(0xffff880000000000, UL)

// linux-3.10/arch/x86/include/asm/page_types.h

#define PAGE_OFFSET		((unsigned long)__PAGE_OFFSET)

__PAGE_OFFSET是一个常量，用于表示内核虚拟地址空间的起始地址。

PAGE_OFFSET 是内核内存空间的起始地址。 因为 sys_close 是导出函数 （需要指出的是， sys_open 、 sys_read 等并不是导出的）， 我们可以直接得到他的地址；因为系统调用号 （也就是 sys_call_table 这个一维数组的索引） 在同一 ABI （x86 跟 x64 不是同一 ABI）上具有高度的后向兼容性， 更重要的是，我们可以直接使用这个索引（代码中的 __NR_close ）！

从内核内存的起始地址开始， 逐一尝试每一个指针大小的内存：把它当成是 sys_call_table 的地址， 用某个系统调用的编号（也就是索引）访问数组中的成员， 如果访问得到的值刚好是是这个系统调用号所对应的系统调用的地址， 那么我们就认为当前尝试的这块指针大小的内存就是我们要找的 sys_call_table 的地址。

#include <linux/module.h>
#include <linux/kallsyms.h>
#include <linux/kernel.h>

#include <linux/syscalls.h> //__NR_close

unsigned long **get_sys_call_table(void)
{
  //内核内存空间的起始地址（PAGE_OFFSET）是已知的，因为它是内核的固定位置。
  unsigned long **entry = (unsigned long **)PAGE_OFFSET;

  for ( ; (unsigned long)entry < ULONG_MAX; entry += 1) {
    if (entry[__NR_close] == (unsigned long *)sys_close) {
        return entry;
      }
  }

  return NULL;
}

static int __init lkm_init(void)
{
	unsigned long **real_sys_call_table = get_sys_call_table();
	printk("PAGE_OFFSET = %lx\n", (unsigned long)PAGE_OFFSET);
	printk("sys_call_table = %lx\n", (unsigned long)real_sys_call_table);

	return 0;
}


static void __exit lkm_exit(void)
{

}

module_init(lkm_init);
module_exit(lkm_exit);

MODULE_LICENSE("GPL");

# insmod sys_call_table.ko
# dmesg -c
[ 7405.938954] PAGE_OFFSET = ffff880000000000
[ 7405.938956] sys_call_table = ffff8800016beee0

从内核内存的起始地址（PAGE_OFFSET）开始，逐一尝试不同大小的内存块。这是因为sys_call_table通常被存储在一块连续的内存区域中。

对于每个尝试的内存地址，使用__NR_close作为索引来访问sys_call_table数组中的成员。

检查返回的值是否与sys_close函数的地址匹配。如果匹配成功，那么当前尝试的内存地址就被认为是sys_call_table的地址。

参考资料

Linux 3.10.0
https://blog.csdn.net/whatday/article/details/100513427
https://docs-conquer-the-universe.readthedocs.io/zh-cn/latest/linux_rootkit/sys_call_table.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/418160.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

想给金三银四找工作的程序员几点建议，被面试官问的Android问题难倒了

想给金三银四找工作的程序员几点建议，被面试官问的Android问题难倒了

Android没凉&#xff0c;只是比以前难混了 多年前Android异军突起&#xff0c;成了新的万亿级市场&#xff0c;无数掘金人涌入&#xff0c;期待可以一展拳脚。 那时候大环境下的手游圈&#xff0c;只要你能有个可以运行的连连看就能找到工作&#xff0c;走上赛道被浪潮推着前…
阅读更多...
LeetCode73题：矩阵置零（python3）

LeetCode73题：矩阵置零（python3）

代码思路&#xff1a; 这里用矩阵的第一行和第一列来标记是否含有0的元素&#xff0c;但这样会导致原数组的第一行和第一列被修改&#xff0c;无法记录它们是否原本包含 0。因此我们需要额外使用两个标记变量分别记录第一行和第一列是否原本包含 0。 class Solution:def setZe…
阅读更多...
二、TensorFlow结构分析（2）

二、TensorFlow结构分析（2）

目录 1、会话 1.1 __init__(target,graphNone,configNone) 1.2 会话的run() 1.3 feed操作 TF数据流图图与TensorBoard会话张量变量OP高级API 1、会话 1.1 __init__(target,graphNone,configNone) def session_demo():# 会话的演示# Tensorflow实现加法运算a_t tf.constan…
阅读更多...
python+Django+Neo4j中医药知识图谱与智能问答平台

python+Django+Neo4j中医药知识图谱与智能问答平台

文章目录 项目地址基础准备正式运行 项目地址 https://github.com/ZhChessOvO/ZeLanChao_KGQA 基础准备 请确保您的电脑有以下环境&#xff1a;python3&#xff0c;neo4j 在安装目录下进入cmd&#xff0c;输入指令“pip install -r requirement.txt”,安装需要的python库 打…
阅读更多...
【二叉搜索树】【递归】【迭代】Leetcode 700. 二叉搜索树中的搜索

【二叉搜索树】【递归】【迭代】Leetcode 700. 二叉搜索树中的搜索

【二叉搜索树】【递归】【迭代】Leetcode 700. 二叉搜索树中的搜索 二叉搜索树解法1 递归法解法2 迭代法 ---------------&#x1f388;&#x1f388;题目链接&#x1f388;&#x1f388;------------------- 二叉搜索树 二叉搜索树&#xff08;Binary Search Tree&#xff…
阅读更多...
【详识JAVA语言】运算符

【详识JAVA语言】运算符

什么是运算符 计算机的最基本的用途之一就是执行数学运算&#xff0c;比如&#xff1a; int a 10; int b 20;a b; a < b; 上述 和< 等就是运算符&#xff0c;即&#xff1a;对操作数进行操作时的符号&#xff0c;不同运算符操作的含义不同。 作为一门计算机语言&…
阅读更多...
mprpc分布式RPC网络通信框架

mprpc分布式RPC网络通信框架

mprpc 项目介绍 该项目是一个基于muduo、Protobuf和Zookeeper实现的轻量级分布式RPC网络通信框架。 可以把任何单体架构系统的本地方法调用&#xff0c;重构成基于TCP网络通信的RPC远程方法调用&#xff0c;实现同一台机器的不同进程之间的服务调用&#xff0c;或者不同机器…
阅读更多...
FreeRTOS 软件定时器

FreeRTOS 软件定时器

目录 一、软件定时器简介 1、软件定时器概述 2、编写回调函数的注意事项 二、软件定时器实现机制 1、软件定时器实现机制 2、软件定时器相关配置 三、单次定时器 四、周期定时器 五、软件定时器的基本操作 1、创建软件定时器 2、复位软件定时器 3、开启软件定时器 …
阅读更多...
【ZooKeeper 】安装和使用，以及java客户端

【ZooKeeper 】安装和使用，以及java客户端

目录 1. 前言 2. ZooKeeper 安装和使用 2.1. 使用Docker 安装 zookeeper 2.2. 连接 ZooKeeper 服务 2.3. 常用命令演示 2.3.1. 查看常用命令(help 命令) 2.3.2. 创建节点(create 命令) 2.3.3. 更新节点数据内容(set 命令) 2.3.4. 获取节点的数据(get 命令) 2.3.5. 查看…
阅读更多...
深度学习_15_过拟合欠拟合

深度学习_15_过拟合欠拟合

过拟合和欠拟合 过拟合和欠拟合是训练模型中常会发生的事&#xff0c;如所要识别手势过于复杂&#xff0c;如五角星手势&#xff0c;那就需要更改高级更复杂的模型去训练&#xff0c;若用比较简单模型去训练&#xff0c;就会导致模型未能抓住手势的全部特征&#xff0c;那简单…
阅读更多...
Gitlab: 私有化部署

Gitlab: 私有化部署

目录 1. 说明 2. 资源要求 3. 安装 4. 配置实践 4.1 服务器 4.2 人员与项目 4.2 部署准备 4.2.1 访问变量及用户账号设置 4.2.2 Runner设置 4.2.3 要点 5. 应用项目 CI/CD 6. 参考 1. 说明 gitlab是一个强大且免费的代码管理/部署工具&#xff0c;能统一集成代码仓…
阅读更多...
力扣 674. 最长连续递增序列

力扣 674. 最长连续递增序列

题目来源&#xff1a;https://leetcode.cn/problems/longest-continuous-increasing-subsequence/description/ C题解&#xff1a;贪心算法。把所有元素遍历一遍&#xff0c;比较它与上个数的大小&#xff0c;大的话更新长度tmp&#xff0c;小的话初始化长度tmp&#xff0c;并与…
阅读更多...
linux nasm汇编中调用printf不报错，但调用scanf报错。抛出了分段错误(核心转储)

linux nasm汇编中调用printf不报错，但调用scanf报错。抛出了分段错误(核心转储)

当我写了如下汇编时 ; nasm -f elf64 -g -F dwarf charsin.asm ; gcc charsin.o -no-pie -o charsin ; ld -o eatclib eatclib.o ; gdb eatclib[SECTION .data]SPrompt db Enter string data, followed by Enter: ,0IPrompt db Enter an integer value, followed by Enter: ,1…
阅读更多...
本科毕业设计：计及并网依赖性的分布式能源系统优化研究。（C语言实现）（内包含NSGA II优化算法）（二）

本科毕业设计：计及并网依赖性的分布式能源系统优化研究。（C语言实现）（内包含NSGA II优化算法）（二）

目录 前言 1、sofc函数 2、光伏板函数 3、集热场函数 4、sofc电跟随策略函数 5、二分法找sofc运行点函数 6、目标函数&#xff1a;成本 7、目标函数&#xff1a;二氧化碳排放量 8、目标函数&#xff1a;并网依赖性 前言 本篇文章介绍的是我的毕业设计&#xff0c;我将C…
阅读更多...
【JavaEE】_HttpServletResponse类

【JavaEE】_HttpServletResponse类

目录 1. 核心方法 2. 关于setStatus(400)与sendError 2.1 setStatus(400) 2.2 sendError 3. setHeader方法 4. 构造重定向响应 4.1 使用setHeader和setStatus实现重定向 4.2 使用sendRedirect实现重定向 本专栏已有文章介绍HttpServlet和HttpServletRequest类&#…
阅读更多...
KubeEdge 边缘计算应用部署

KubeEdge 边缘计算应用部署

文章目录 一、概述1.Kubernetes 对 Pod 调度规则1.1.自动调度1.2.定向调度1.3.亲和性调度1.4.污点和容忍 2.KubeEdge 应用部署2.1.KubeEdge应用部署方式2.2.标签操作 二、KubeEdge应用部署1.Node添加标签2.DaemonSet部署2.1.部署到所有节点2.2.部署到边缘节点 3.Deployment部署…
阅读更多...
登录认证-Filter(黑马学习笔记)

登录认证-Filter(黑马学习笔记)

分析 我们需要使用过滤器Filter来完成案例我们需要使用过滤器Filter来完成案例 我们先来回顾下前面分析过的登录校验的基本流程&#xff1a; ● 要进入到后台管理系统&#xff0c;我们必须先完成登录操作&#xff0c;此时就需要访问登录接口login。 —————————————…
阅读更多...
leetcode:860.柠檬水找零

leetcode:860.柠檬水找零

题意&#xff1a;按照支付顺序&#xff0c;进行支付&#xff0c;能够正确找零。 解题思路&#xff1a;贪心策略&#xff1a;针对支付20的客人&#xff0c;优先选择消耗10而不是消耗5&#xff0c;因为5可以用来找零10或20. 代码实现&#xff1a;有三种情况&#xff08;代表三种…
阅读更多...
CSS技巧：实现两个div在同一行显示的方法

CSS技巧：实现两个div在同一行显示的方法

css如何让两个div在同一行显示 - web开发 - 亿速云 在Web开发中&#xff0c;经常遇到需要将多个元素水平排列在同一行的情况。其中一个常见的需求是将两个div元素放置在同一行上&#xff0c;使它们并排显示。在本文中&#xff0c;我们将介绍几种实现这一效果的CSS方法。 1. 使…
阅读更多...
MySQL：索引有哪些（清晰明了）

MySQL：索引有哪些（清晰明了）

一提到索引&#xff0c;可能就会想到B树索引、Hash索引、聚簇索引、主键索引、唯一索引、联合索引等等&#xff0c;但这些名词并不能混为一谈&#xff0c;他们有重复的部分&#xff0c;是从不同方面给索引取的名字。 从数据结构上来讲&#xff1a;B树索引、Hash索引、Full-text…
阅读更多...
最新文章

Copyright @ 2022~2023