Linux x86平台获取sys_call_table，2024年华为网络安全面试真题解析

于 2024-04-05 15:58:02 发布
阅读量904 收藏 25
点赞数 29
分类专栏： 2024年程序员学习 文章标签： linux 华为 面试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_60634964/article/details/137402390
版权

* Only called from user space.
*
* XXX if we had a free scratch register we could save the RSP into the stack frame
* and report it properly in ps. Unfortunately we haven’t.
*
* When user can change the frames always force IRET. That is because
* it deals with uncanonical addresses better. SYSRET has trouble
* with them due to bugs in both AMD and Intel CPUs.
*/

ENTRY(system_call)
…
system_call_fastpath:
…
movq %r10,%rcx
call *sys_call_table(,%rax,8) # XXX: rip relative
movq %rax,RAX-ARGOFFSET(%rsp)
…

在进入system_call时，中断被禁用。system_call仅从用户空间调用。系统调用通过指令syscall来执行。

在x86_64架构的用户空间下进行系统调用时，常用的寄存器如下：

rax：系统调用号（syscall number）放置在rax寄存器中，用于指定要调用的特定系统调用。
rdi：第一个参数（arg0）。在系统调用期间，用户提供的第一个参数通常存储在rdi寄存器中。
rsi：第二个参数（arg1）。用户提供的第二个参数通常存储在rsi寄存器中。
rdx：第三个参数（arg2）。用户提供的第三个参数通常存储在rdx寄存器中。
r10、r8、r9：第四、五、六个参数（arg3、arg4、arg5）。用户提供的第四、五、六个参数通常存储在r10、r8和r9寄存器中。

rcx：系统调用的返回地址。在进行系统调用时，将返回地址存储在rcx寄存器中，以便在系统调用完成后返回到正确的位置。
r11：用于存储eflags寄存器的值。在进行系统调用前，将当前eflags寄存器的值保存在r11寄存器中，以便在系统调用完成后恢复它。

用户空间函数调用：

rax：返回值 参数传递：rdi,rsi,rdx,rcx,r8,r9

用户空间系统调用：

rax：系统调用号 参数传递：rdi,rsi,rdx,r10、r8、r9 (rcx -> r10)

（2）
在x86_64架构中，调用sys_call_table的机器码操作是通过间接调用（indirect call）指令来实现的。具体的操作码是ff 14 c5，其表示的汇编指令是callq *%rax。

这条指令的作用是从rax寄存器中获取一个指针地址，然后跳转到该地址执行代码。在这种情况下，我们假设rax寄存器中存储了sys_call_table的地址，以便通过间接调用来调用相应的系统调用函数。

我们通过crash调试便可以获取到sys_call_table的地址：
在这里插入图片描述
由上面的汇编代码：

system_call
–>system_call_fastpath
–>call *sys_call_table(,%rax,8)

我们反汇编system_call_fastpath：

crash> dis system_call_fastpath
0xffffffff816b4fb3 <system_call_fastpath>: cmp $0x146,%rax
0xffffffff816b4fb9 <system_call_fastpath+6>: ja 0xffffffff816b5081
0xffffffff816b4fbf <system_call_fastpath+12>: mov %r10,%rcx
0xffffffff816b4fc2 <system_call_fastpath+15>: callq *-0x7e941120(,%rax,8)
0xffffffff816b4fc9 <system_call_fastpath+22>: mov %rax,0x20(%rsp)

可以看到在地址0xffffffff816b4fc2，调用call *sys_call_table(,%rax,8)，然后读取内存地址0xffffffff816b4fc2的值：

crash> rd -64 0xffffffff816b4fc2
ffffffff816b4fc2: 48816beee0c514ff …k.H

call的操作码是0xff14c5，后面就是sys_call_table的地址0x816beee0
因此sys_call_table的地址是0xffffffff816beee0。

备注：第三节使用了rdmsr来获取 system_call 符号的值。

（3）
我们也可以借助vmlinux来objdump来获取其地址：

./extract-vmlinux vmlinuz-3.10.0-693.el7.x86_64 > vmlinux

objdump -d vmlinux > vmlinux.txt

vim vmlinux.txt

我们根据 ff 14 c5 指令码来搜索，上一条指令且是movq %r10,%rcx：

movq %r10,%rcx
call *sys_call_table(,%rax,8) # XXX: rip relative

ffffffff816b4fbf: 4c 89 d1 mov %r10,%rcx
ffffffff816b4fc2: ff 14 c5 e0 ee 6b 81 callq *-0x7e941120(,%rax,8)

可以看到 ff 14 c5 机器码后面的地址就是sys_call_table的地址0x816beee0（x86_64是小端机器）。
因此sys_call_table的地址是0xffffffff816beee0。

二、使用dump_stack

#include <linux/module.h>
#include <linux/kallsyms.h>
#include <linux/kernel.h>

static int __init lkm_init(void)
{
dump_stack();
return 0;
}

static void __exit lkm_exit(void)
{

}

module_init(lkm_init);
module_exit(lkm_exit);

MODULE_LICENSE(“GPL”);

[ 7666.386756] Call Trace:
[ 7666.386761] [] dump_stack+0x19/0x1b
[ 7666.386762] [] lkm_init+0x9/0x1000 [sys_call_table]
[ 7666.386764] [] do_one_initcall+0xb8/0x230
[ 7666.386766] [] load_module+0x1f64/0x29e0
[ 7666.386769] [] ? ddebug_proc_write+0xf0/0xf0
[ 7666.386770] [] ? copy_module_from_fd.isra.42+0x53/0x150
[ 7666.386772] [] SyS_finit_module+0xa6/0xd0
[ 7666.386774] [] system_call_fastpath+0x16/0x1b

我们就可以看到 system_call_fastpath+0x16 的地址是0xffffffff816b4fc9，因此system_call_fastpath的地址是：

0xffffffff816b4fc9 - 0x16 = 0xffffffff816b4fb3

我们可以从/proc/kallsyms验证：

cat /proc/kallsyms | grep system_call_fastpath

ffffffff816b4fb3 t system_call_fastpath

system_call_fastpath:
#if __SYSCALL_MASK == ~0
cmpq $__NR_syscall_max,%rax
#else
andl $__SYSCALL_MASK,%eax
cmpl $__NR_syscall_max,%eax
#endif
ja badsys
movq %r10,%rcx
call *sys_call_table(,%rax,8) # XXX: rip relative

这里我们简单点，从上面的crash可以看到：

crash> dis system_call_fastpath
0xffffffff816b4fb3 <system_call_fastpath>: cmp $0x146,%rax
0xffffffff816b4fb9 <system_call_fastpath+6>: ja 0xffffffff816b5081
0xffffffff816b4fbf <system_call_fastpath+12>: mov %r10,%rcx
0xffffffff816b4fc2 <system_call_fastpath+15>: callq *-0x7e941120(,%rax,8)

call *sys_call_table 在 system_call_fastpath 的 0xf(15)处。

#include <linux/module.h>
#include <linux/kallsyms.h>
#include <linux/kernel.h>

static int __init lkm_init(void)
{
int i;
unsigned char *ptr;

ptr = (unsigned char *)(0xffffffff816b4fc9 - 0x16 + 0xf);

for (i = 0; i < 8; i ++) {
//printk("%02x “, (unsigned char)ptr[i]);
printk(”%02x ", (unsigned char)*(ptr + i));
}

return 0;
}

static void __exit lkm_exit(void)
{

}

module_init(lkm_init);
module_exit(lkm_exit);

MODULE_LICENSE(“GPL”);

(unsigned char)ptr[i]) = (unsigned char)*(ptr + i))

insmod sys_call_table.ko

[# dmesg -c
[ 8416.858466] ff 14 c5 e0 ee 6b 81 48

可以看到 ff 14 c5 机器码后面的地址就是sys_call_table的地址0x816beee0（x86_64是小端机器）。
因此sys_call_table的地址是0xffffffff816beee0。

或者直接搜索：

#include <linux/module.h>
#include <linux/kallsyms.h>
#include <linux/kernel.h>

static int __init lkm_init(void)
{
int i, j;
unsigned char *ptr;

ptr = (unsigned char *)(0xffffffff816b4fc9 - 0x16 + 0xf);

for (i = 0; i < 20; i ++) {

if( ((unsigned char)ptr[i] == 0xff) && ((unsigned char)ptr[i + 1] == 0x14) && ((unsigned char)ptr[i +2] == 0xc5) ){
printk("0x%x ", *(unsigned int *)(ptr+i+3));
break;
}
}

return 0;
}

static void __exit lkm_exit(void)
{

}

module_init(lkm_init);
module_exit(lkm_exit);

MODULE_LICENSE(“GPL”);

insmod sys_call_table.ko

dmesg -c

[ 280.502659] 0x816beee0

因此sys_call_table的地址是0xffffffff816beee0。

三、根据MSR_LSTAR寄存器

我们来看一下内核的启动过程：

start_kernel()
–>trap_init()
–>cpu_init()
–>syscall_init()

#define MSR_STAR 0xc0000081 /* legacy mode SYSCALL target */
#define MSR_LSTAR 0xc0000082 /* long mode SYSCALL target */
#define MSR_CSTAR 0xc0000083 /* compat mode SYSCALL target */

| Register

AddressArchitectural MSR Name / Bit Fields (Former MSR Name)MSR/Bit Description
C000_0081HIA32_STARSystem Call Target Address (R/W)
C000_0082HIA32_LSTARIA-32e Mode System Call Target Address (R/W) Target RIP for the called procedure when SYSCALL is executed in 64-bit mode.
C000_0083HIA32_CSTARIA-32e Mode System Call Target Address (R/W) Not used, as the SYSCALL instruction is not recognized in compatibility mode.

我们主要看MSR_LSTAR寄存器：
IA32_LSTAR 是 IA-32e 模式下的系统调用目标地址寄存器，用于存储在 64 位模式下执行 SYSCALL 指令时被调用过程的目标 RIP（指令指针）。

当在 64 位模式下执行 SYSCALL 指令时，系统将从 IA32_LSTAR 寄存器中加载 RIP 的值，以跳转至相应的系统调用处理程序。

为了使内核接收传入的系统调用，它必须通过将其地址写入IA32_LSTAR MSR寄存器 来注册将在发生系统调用时执行的代码的地址。

/* May not be marked __init: used by software suspend */
void syscall_init(void)
{

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
img
img
img
img
img
img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）
img

一个人可以走的很快，但一群人才能走的更远。如果你从事以下工作或对以下感兴趣，欢迎戳这里加入程序员的圈子，让我们一起学习成长！

AI人工智能、Android移动开发、AIGC大模型、C C#、Go语言、Java、Linux运维、云计算、MySQL、PMP、网络安全、Python爬虫、UE5、UI设计、Unity3D、Web前端开发、产品经理、车载开发、大数据、鸿蒙、计算机网络、嵌入式物联网、软件测试、数据结构与算法、音视频开发、Flutter、IOS开发、PHP开发、.NET、安卓逆向、云计算

些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）**
[外链图片转存中…(img-fES0o40h-1712303872688)]

一个人可以走的很快，但一群人才能走的更远。如果你从事以下工作或对以下感兴趣，欢迎戳这里加入程序员的圈子，让我们一起学习成长！

AI人工智能、Android移动开发、AIGC大模型、C C#、Go语言、Java、Linux运维、云计算、MySQL、PMP、网络安全、Python爬虫、UE5、UI设计、Unity3D、Web前端开发、产品经理、车载开发、大数据、鸿蒙、计算机网络、嵌入式物联网、软件测试、数据结构与算法、音视频开发、Flutter、IOS开发、PHP开发、.NET、安卓逆向、云计算

m0_60634964
关注
  • 29
    点赞
  • 踩
  • 25
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Syscall系统调用Linux内核跟踪
shengyin714959的博客
05-24 362
也就是说，所有系统调用都从用户空间中汇聚到0x80中断点，同时保存具体的系统调用号。当0x80中断处理程序运行时，将根据系统调用号对不同的系统调用分别处理，即调用不同的内核函数进行处理。实际上，真正调用的是系统函数syscall(SYS_read)，即sys_read()函数。fget_light() ：根据 fd 指定的索引，从当前进程描述符中取出相应的 file 对象（见图3）。##name是系统调用号，##指的是两次宏展开．即用实际的系统调用名字代替”name”,然后再把__NR。
Client_for_linux_x64_v1.6.50006-华为云桌面.rar
12-23
华为云桌面用于64位x86Linux客户端安装包。
Linux常见问题
asd315861547的博客
02-21 878
问题1:CenOS6.7无法上网解决方法: (该解决方法是设置为NAT模式)1.将网络连接模式设置成NAT模式,不能设置成仅主机模式 2.查看IP网段与网关网段是否一致, 如果不一致:将IP网段设置成与网管网段一致 3.将ONBOOT设置成yes 4.将网关设置成与非虚拟机不同的网关地址, 如:非虚拟机地址为192.168.179.1,那么虚拟机的地址应改为192.168.179.2(除192.16
Linux系统64位AT&T系统调用汇编指令syscall
qq_42108074的博客
10-24 1040
在Linux中syscall是系统调用）的指令。想要深入了解syscall的作用，就需要了解特权级别。现代计算机通常采用名为的机制来保护整个系统的数据和功能，使其免受故障和外部恶意行为的伤害。这种方式通过提供多种不同层次的资源访问级别，即特权级别，来限制不同代码的执行能力。Intel x86 架构中，特权级别被分为 4 个层次，即Ring0Ring3。其中，Ring0层拥有最高特权，它具有对整个系统的最大控制能力，内核代码通常运行于此。相对地，Ring3。
Linux - 系统调用（syscall）
qazw9600的专栏
11-25 943
syscall 原理
Linux x86平台获取sys_call_table
最新发布
小立仔
02-29 908
Linux 3.10.0 -- x86_64 获取sys_call_table的几种方式
华为欧拉系统 EulerOS-V2.0SP5-x86_64-dvd.part1.rar
12-09
华为欧拉系统 EulerOS-V2.0SP5-x86_64-dvd文件分割成 五个 压缩包，必须集齐 五个 文件后才能一起解压一起使用： EulerOS-V2.0SP5-x86_64-dvd.part5.rar ... EulerOS-V2.0SP5-x86_64-dvd.part4.rar ...
华为大数据FusionInsight AI平台 - ModelArts_大数据_平台_ai_
10-01
大数据，文中的AI文档详细介绍了大数据前景和计划
android-x86_64-9.0-r1.iso
10-12
android-x86_64-9.0-r1.iso 百度网盘下载 9.0-r1 基于最新的 Android 9.0.0 Pie 版本(android-9.0.0_r53)。 支持OpenGL ES 3.x，UEFI，Vulkan 支持多点触控、音频、Wifi、蓝牙、传感器、摄像头和以太网（仅 DHCP）。...
华为欧拉系统 EulerOS-V2.0SP5-x86_64-dvd.part4.rar
12-09
华为欧拉系统 EulerOS-V2.0SP5-x86_64-dvd文件分割成 五个 压缩包，必须集齐 五个 文件后才能一起解压一起使用： EulerOS-V2.0SP5-x86_64-dvd.part5.rar ... EulerOS-V2.0SP5-x86_64-dvd.part4.rar ...
linux进阶49——syscall
www_dong的博客
08-22 2238
1. 概念 syscall()是一个小的库函数，它调用系统调用，该系统调用的汇编语言接口具有指定的带指定参数的数字。 syscall()在进行系统调用之前保存CPU寄存器，从系统调用返回时恢复寄存器，如果发生错误，将系统调用返回的任何错误代码存储在errno。 2. 函数定义 #define _GNU_SOURCE /* See feature_test_macros(7) */ #include <unistd.h> #include <sys/syscall.
获取sys_call_table地址
ShirokoYae的博客
08-05 744
关于劫持系统调用时的sys_call_table地址，在上篇文章中提到了手动获取系统调用表地址的方法，本文采用 kallsyms_lookup_name() 来获得sys_call_table的符号地址。 文章指路：https://blog.csdn.net/ShirokoYae/article/details/119036040 主要参考文章：https://blog.csdn.net/zzzpany/article/details/94308431，获取方法 次要参考文章：https://blog
Linux关于sys_call_table的使用
赵四司机的博客
11-06 833
系统调用服务程序的地址存放在sys_call_table中，通过系统调用号定位到具体的系统调用地址，然后我们就可以通过编写内核模块来修改sys_call_table中的系统调用的地址来为我们自己定义的函数的地址，可以实现系统调用的拦截。但是我的版本不支持sys_call_table的导出，所以需要获得sys_call_table的地址，通过sudo cat /proc/kallsyms | grep sys_call_table 可以看出sys_call_table数组的首地址为0xffffffffb5
Linux Rootkit 系列二：基于修改 sys_call_table 的系统调用挂钩
whatday的专栏
07-23 1611
与第一篇文章作者所想象的不同，本文不打算给大家介绍三种不同的系统调用挂钩技术，相反，本文仅详细讲解最简单的系统调用挂钩方案，并且基于这个方案实现最基本的文件监视工具。这样，既可以让读者轻松上手进行实际应用， 又可以加深、巩固读者对LKM的理解，同时还免去了一次学习多种挂钩方案的理论知识压力。 所以，本文力求以实验为核心，每一个步骤都可能有对应的实验代码。代码仓库：https://github...
操作系统笔记(三)——系统调用的实现（System Call）
肌肉猛男
02-06 2260
系统调用的实现前言系统调用的直观实现内核（用户）态，内核（用户）段处理器保护环将其分为了四部分对于内核段代码的处理用段寄存器来进行解决硬件提供了“主动进入内核的方法”系统调用的核心 int 0x80 前言 前面的文章说了什么是系统调用，就是系统提供给上层用户的一些函数，如open，read，write…，表面上是一些函数，背后是如何实现的呢？ 这一篇文章就会记录系统调用是如何实现的。 系统调用的直观实现 反正所想要打印的代码与系统代码都在内存里，直接跳转，直接调用不可以吗？ 答：肯定是不能的。 不能随意的
Linux系统调用
Jiajun Zhu
09-12 882
glibc版本2.34，kernel版本4.20以read为例，声明在/usr/include/unistd.h中，定义在glibc/sysdeps/unix/sysv/linux/read.c中。
linux 命令 sys_call_table地址,Linux2.6内核模块获取sys call table地址
weixin_42524165的博客
05-03 331
在上面的代码中，最复杂的应该就是从0x80中断的服务例程中搜索sys_call_table的一段了，现解释如下。首先，我们使用命令“gdb -q /usr/src/kernels/2.6.19/vmlinux”来反编译内核，再使用“disass system_call”和“disass syscall_call”两条gdb命令来查看内核的汇编代码，其结果如下：(gdb) disass system...
euleros.x86_64_svp.iso
09-01
euleros.x86_64_svp.iso是华为公司开发的EulerOS操作系统的安装映像文件。EulerOS是一款基于Linux的企业级操作系统，广泛应用于云计算、大数据、人工智能和物联网等领域。euleros.x86_64_svp.iso是面向x86_64架构的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值