跟踪分析Linux内核5.0系统调用处理过程

原创作品转载请注明出处 + https://github.com/mengning/linuxkernel/
学号 358

实验要求

举例跟踪分析Linux内核5.0系统调用处理过程

• 编译内核5.0
• qemu -kernel linux-5.0.1/arch/x86/boot/bzImage -initrd rootfs.img
• 选择系统调用号后两位与您的学号后两位相同的系统调用进行跟踪分析
• https://github.com/mengning/menu
• 给出相关关键源代码及实验截图，撰写一篇博客（署真实姓名或学号最后3位编号），并在博客文章中注明“原创作品转载请注明出处 + https://github.com/mengning/linuxkernel/ ”，博客内容的具体要求如下：
  • 题目自拟，内容围绕系统调用进行；
  • 博客中需要使用实验截图
  • 博客内容中需要仔细分析系统调用、保护现场与恢复现场、系统调用号及参数传递过程
  • 总结部分需要阐明自己对系统调用工作机制的理解。

编译内核

下载内核、解压、编译
内核下载地址https://mirrors.edge.kernel.org/pub/linux/kernel/v5.x/linux-5.0.1.tar.xz
使用代码如下

cd Linuxkernel
xz -d linux-5.0.1.tar.xz
tar -xvf linux-5.0.tar.xz
cd linux-5.0
make i386_defconfig
make -j

编译过程中可能会出现的问题

解决办法：

sudo apt-get install flex
sudo apt-get install bison
sudo apt-get install libssl-dev

制作根文件系统

mkdir rootfs
git clone https://github.com/mengning/menu.git  
cd menu
gcc -o init linktable.c menu.c test.c -m32 -static –lpthread
cd ../rootfs
cp ../menu/init ./
find . | cpio -o -Hnewc | gzip -9 > ../rootfs.img

解决办法

sudo apt-get install gcc-multilib

编译

cd ..
qemu -kernel linux-5.0.1/arch/x86/boot/bzImage -initrd rootfs.img -s -S -append nokaslr

使用gdb跟踪调试内核

qemu -kernel /usr/src/linux-5.0.1/arch/x86/boot/bzImage -initrd ../rootfs.img -s -S -append nokaslr	// 需要加上“-append nokaslr”这个选项，否则设置的断点不起作用

打开另一个终端窗口

gdb
(gdb) file vmlinux  
(gdb) target remote:1234 
(gdb) break start_kernel 

过程中出现问题时，缺少的组件按提示安装5. 分析
分析：

首先，几乎所有的内核模块均会在start_kernel进行初始化。在start_kernel中，会对各项硬件设备进行初始化，包括一些page_address、tick等等，直到最后需要执行的rest_init中，会开始让系统跑起来。那rest_init这个过程中，会调用kernel_thread()来创建内核线程kernel_init，它创建用户的init进程，初始化内核，并设置成1号进程，这个进程会继续做相关的系统初始化。然后，start_kernel会调用kernel_thread并创建kthreadd，负责管理内核中得所有线程，然后进程ID会被设置为2。最后，会创建idle进程（0号进程），不能被调度，并利用循环来不断调号空闲的CPU时间片，并且从不返回。

选择系统调用跟踪分析

我的学号是358，选择学号后两位58系统调用（ /usr/include/asm/unistd_32.h中查看系统调用号）

ulimit：显示（或设置）用户可以使用的资源的限制（limit），这限制分为软限制（当前限制）和硬限制（上限），其中硬限制是软限制的上限值，应用程序在运行过程中使用的系统资源不超过相应的软限制，任何的超越都导致进程的终止。
在test.c中增加函数，再重新编译rootfs.img

总结

一般情况下，用户进程是不能访问内核的。它既不能访问内核所在的内存空间，也不能调用内核中的函数。系统调用是一个例外。系统调用实际上就是一个从用户态到管态再恢复到用户态的过程，用户态可以说成间接操作内存的程序，而内核态也就是通过汇编代码直接操作内存，而他们再转换过程中，由于涉及上下文的切换问题，所以需要对内容进行保护，在进入中断程序前，将内核态寄存器的值放入栈中，在程序结束后再进行出栈。其原理是：进程先用适当的值填充寄存器，然后调用一个特殊的指令，这个指令会让用户程序跳转到一个事先定义好的内核中的一个位置。进程可以跳转到的固定的内核位置。这个过程检查系统调用号，这个号码告诉内核进程请求哪种服务。然后，它查看系统调用表(sys_call_table)找到所调用的内核函数入口地址。接着，就调用函数，等返回后，做一些系统检查，最后返回到进程。