通过hook Linux内核函数，监控进程/线程创建与销毁

最新推荐文章于 2023-07-02 18:04:15 发布

warriorpaw

最新推荐文章于 2023-07-02 18:04:15 发布

阅读量9k

点赞数 2

CC 4.0 BY-SA版权

文章标签： LINUX

本文链接：https://blog.csdn.net/warriorpaw/article/details/17227785

本文介绍了如何通过hook Linux内核的do_fork和do_exit函数来监控进程和线程的创建与销毁。在Linux内核中，进程和线程并无差别，皆由do_fork进行创建，do_exit负责销毁。作者提到了一种不修改函数入口，而是修改内部call指令的方法来实现hook，并提到了Ph4nt0m Security Team的相关文章作为参考资料。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Linux实际上木有线程这玩意，具体到内核里面就是个进程组头+一堆轻量级进程

太感谢Linus了，工作量瞬间下来了，在内核线程/进程无差别的，写一套东西就忽悠交差说是两套都做了，反正那帮子人也不懂。。。。

所有的进程创建都是通过do_fork()内核函数来做的，所有进程销毁都是走do_exit()，系统调用什么的都是这两个函数的封装而已

比如下面，和创建进程/线程相关的系统调用的处理函数。。。

asmlinkage int sys_fork(struct pt_regs regs)
{
	return do_fork(SIGCHLD, regs.esp, ®s, 0, NULL, NULL);
}

asmlinkage int sys_clone(struct pt_regs regs)
{
	unsigned long clone_flags;
	unsigned long newsp;
	int __user *parent_tidptr, *child_tidptr;

	clone_flags = regs.ebx;
	newsp = regs.ecx;
	parent_tidptr = (int __user *)regs.edx;
	child_tidptr = (int __user *)regs.edi;
	if (!newsp)
		newsp = regs.esp;
	return do_fork(clone_flags, newsp, ®s, 0, parent_tidptr, child_tidptr);
}

/*
 * This is trivial, and on the face of it looks like it
 * could equally well be done in user mode.
 *
 * Not so, for quite unobvious reasons - register pressure.
 * In user mode vfork() cannot have a stack frame, and if
 * done b