Inline Hook Syscall 详解

最新推荐文章于 2024-05-23 09:53:57 发布
最新推荐文章于 2024-05-23 09:53:57 发布
阅读量2.5k 收藏 8
点赞数 3
分类专栏： Trace Security 文章标签： inline hook syscall hook
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/pwl999/article/details/107469300
版权
Trace 同时被 2 个专栏收录
29 篇文章 84 订阅
订阅专栏
Security
12 篇文章 14 订阅
订阅专栏

文章目录

1. hook一般syscall

在安全、性能分析等领域，经常会需要对系统调用syscall进行hook。有些模块在kernel代码中已经预先hook，例如syscall trace event。

通常syscall使用sys_call_table[]数组来间接调用：

kernel\arch\x86\kernel\entry_64.S:

ENTRY(system_call)

	call *sys_call_table(,%rax,8)  # XXX:	 rip relative

sys_call_table[]数组中保存的是所有系统调用的函数指针：

#define __SYSCALL(nr, sym) [nr] = sym,

const sys_call_ptr_t sys_call_table[__NR_syscall_max+1] = {
    #define __NR_read				0
    __SYSCALL(__NR_read, sys_read)
    #define __NR_write				1
    __SYSCALL(__NR_write, sys_write)
    #define __NR_open				2
    __SYSCALL(__NR_open, sys_open)
    #define __NR_close				3
    __SYSCALL(__NR_close, sys_close)

    ...
};

对于其他没有预置代码的模块来说，需要在运行的时候动态hook，通常我们使用inline hook。inline hook的好处是hook完以后，运行时零开销。

实例代码：

void syscallxxx_hook_init(void)
{
	unsigned long *sct;
    void ** g_syscall_table;

    g_syscall_table = (void **)kallsyms_lookup_name("sys_call_table");
		
	make_kernel_page_readwrite();
	preempt_disable();
	
    /* (1) 备份原有g_syscall_table[]数组中的函数指针 */
	orig_syscallxxx = (void *)g_syscall_table[__NR_syscallxxx];
    /* (2) 把g_syscall_table[]数组值改为新的函数指针 */
	sct[__NR_syscallxxx] = (unsigned long)new_syscallxxx;
	
	preempt_enable();
	make_kernel_page_readonly();
}

↓

asmlinkage long new_syscallxxx(...)
{
	long rc;
	
    /* (2.1) 做一些hook增加的事情 */
	rc = do_something(...);
	if (0 != rc)
	    return rc; 
	
    /* (2.2) 调用原有的syscall处理 */
	return orig_syscallxxx(....); 
}

这种hook方式在大部分情况下工作正常，但是某些特殊的系统调用会工作异常。

2. hook stub syscall

2.1 stub_xxx 原理

在4.5版本及以下的内核中，x86架构对某些系统调用有特殊处理。我们可以在sys_call_table[]数组中看到的函数不是sys_xxx而是stub_xxx：

const sys_call_ptr_t sys_call_table[__NR_syscall_max+1] = {

    #define __NR_rt_sigreturn			15
    __SYSCALL(__NR_rt_sigreturn, stub_rt_sigreturn)

    #define __NR_clone				56
    __SYSCALL(__NR_clone, stub_clone)
    #define __NR_fork				57
    __SYSCALL(__NR_fork, stub_fork)
    #define __NR_vfork				58
    __SYSCALL(__NR_vfork, stub_vfork)
    #define __NR_execve				59
    __SYSCALL(__NR_execve, stub_execve)

    #define __NR_sigaltstack			131
    __SYSCALL(__NR_sigaltstack, stub_sigaltstack)

    #define __NR_iopl				172
    __SYSCALL(__NR_iopl, stub_iopl)
    ...
};

这有点出乎我们的意料，字面上理解是一些桩函数，我们看看其具体做了些什么：

kernel\arch\x86\kernel\entry_64.S:

/*
 * Certain special system calls that need to save a complete full stack frame.
 */
	.macro PTREGSCALL label,func,arg
ENTRY(\label)
	PARTIAL_FRAME 1 8		/* offset 8: return address */
	subq $REST_SKIP, %rsp
	CFI_ADJUST_CFA_OFFSET REST_SKIP
	call save_rest
	DEFAULT_FRAME -2 8		/* offset 8: return address */
	leaq 8(%rsp), \arg	/* pt_regs pointer */
	call \func              /* (1.1) 调用实际的系统调用sys_xxx()函数 */
	jmp ptregscall_common
	CFI_ENDPROC
END(\label)
	.endm

    /* (1) stub_clone/fork/vfork/sigaltstack/iopl 函数的定义 */
	PTREGSCALL stub_clone, sys_clone, %r8
	PTREGSCALL stub_fork, sys_fork, %rdi
	PTREGSCALL stub_vfork, sys_vfork, %rdi
	PTREGSCALL stub_sigaltstack, sys_sigaltstack, %rdx
	PTREGSCALL stub_iopl, sys_iopl, %rsi

ENTRY(ptregscall_common)
	DEFAULT_FRAME 1 8	/* offset 8: return address */
	RESTORE_TOP_OF_STACK %r11, 8
	movq_cfi_restore R15+8, r15
	movq_cfi_restore R14+8, r14
	movq_cfi_restore R13+8, r13
	movq_cfi_restore R12+8, r12
	movq_cfi_restore RBP+8, rbp
	movq_cfi_restore RBX+8, rbx
	ret $REST_SKIP		/* pop extended registers */
	CFI_ENDPROC
END(ptregscall_common)

    /* (2) stub_execve函数的定义 */
ENTRY(stub_execve)
	CFI_STARTPROC
	addq $8, %rsp
	PARTIAL_FRAME 0
	SAVE_REST
	FIXUP_TOP_OF_STACK %r11
	movq %rsp, %rcx
	call sys_execve             /* (2.1) 调用实际的系统调用sys_execve()函数 */
	RESTORE_TOP_OF_STACK %r11
	movq %rax,RAX(%rsp)
	RESTORE_REST
	jmp int_ret_from_sys_call
	CFI_ENDPROC
END(stub_execve)

/*
 * sigreturn is special because it needs to restore all registers on return.
 * This cannot be done with SYSRET, so use the IRET return path instead.
 */
    /* (3) stub_rt_sigreturn函数的定义 */
ENTRY(stub_rt_sigreturn)
	CFI_STARTPROC
	addq $8, %rsp
	PARTIAL_FRAME 0
	SAVE_REST
	movq %rsp,%rdi
	FIXUP_TOP_OF_STACK %r11
	call sys_rt_sigreturn       /* (3.1) 调用实际的系统调用sys_rt_sigreturn()函数 */
	movq %rax,RAX(%rsp) # fixme, this could be done at the higher layer
	RESTORE_REST
	jmp int_ret_from_sys_call
	CFI_ENDPROC
END(stub_rt_sigreturn)
  • 为什么系统要对这几个系统调用做stub_xxx的特殊处理？

注释中的一段话说明了大概原因：

/*
 * Certain special system calls that need to save a complete full stack frame.
 * 某些特殊的系统调用需要保存完整的完整堆栈帧。
 */

针对这类特殊的系统调用，我们有两种方法来进行hook。

2.2 方法1：hook stub_xxx

第一种方法我们还是继续替换sys_call_table[]数组中函数指针，但是要自己处理hook函数的栈平衡。

写一段自己的stub_new_syscallxxx函数来替换原有的stub_syscallxxx函数：

stub_new_syscallxxx:
    /**
     * (1.1) 保存寄存器状态, 保证之后调用原来的stub_syscallxxx的时候CPU执行环境一致
     * 其中rdi,rsi,rdx,rcx,rax,r8,r9,r10,r11保存sysenter的参数，rbx作为临时变量
     */
    pushq   %rbx
    pushq   %rdi
    pushq   %rsi
    pushq   %rdx
    pushq   %rcx
    pushq   %rax
    pushq   %r8
    pushq   %r9
    pushq   %r10
    pushq   %r11
 
	/* (1.2) 调用自己的hook函数 */
    call    new_syscallxxx
    test    %rax, %rax
    movq    %rax, %rbx
 
    /* (1.3) 恢复寄存器状态 */
    pop     %r11
    pop     %r10
    pop     %r9
    pop     %r8
    pop     %rax
    pop     %rcx
    pop     %rdx
    pop     %rsi
    pop     %rdi
 
    jz      new_syscallxxx_done
    
    /* (2.1) new_syscallxxx返回值为非0时 */
    movq    %rbx, %rax
    pop     %rbx
    ret   /* 这里不一定要jmp int_ret_from_sys_call，反正syscallxxx已经被我们拦截了 */
    
    /* (2.2) new_syscallxxx返回值为0时 */
new_syscallxxx_done:
    pop     %rbx
    jmp     *orig_sys_call_table(, %rax, 8) /* 调用原始的stub_syscallxxx */

这种方法要小心处理调用堆栈，在我们hook函数运行之前要小心的保护堆栈，在hook函数运行完成后要完全恢复堆栈。而且不方便实现post hook。

2.3 方法2：hook call sys_xxx

另一种方法我们替换stub_syscallxxx函数中的call sys_syscallxxx语句。例如：

ENTRY(stub_execve)
	CFI_STARTPROC
	addq $8, %rsp
	PARTIAL_FRAME 0
	SAVE_REST
	FIXUP_TOP_OF_STACK %r11
	movq %rsp, %rcx
	call sys_execve             // 替换call语句中的sys_execve为new_sys_execve
	RESTORE_TOP_OF_STACK %r11
	movq %rax,RAX(%rsp)
	RESTORE_REST
	jmp int_ret_from_sys_call
	CFI_ENDPROC
END(stub_execve)

查看原始指令码：

(gdb) disassemble /r stub_execve
Dump of assembler code for function stub_execve:
   0xffffffff8146f7e0 <+0>:     48 83 c4 08     add    $0x8,%rsp
   ...
   0xffffffff8146f847 <+103>:   e8 74 b2 b9 ff  callq  0xffffffff8100aac0 <sys_execve>  // call sys_execve
   ...
   0xffffffff8146f890 <+176>:   e9 77 fd ff ff  jmpq   0xffffffff8146f60c <int_ret_from_sys_call>
End of assembler dump.
(gdb) p sys_execve
$2 = {long (const char *, const char * const *, const char * const *, struct pt_regs *)} 0xffffffff8100aac0 <sys_execve>

我们可以看到call sys_execve对应的命令码为e8 74 b2 b9 ff，其中：

  • e8对应call指令。
  • ffb9b274表示被调用函数和当前pc的偏移：
被call函数地址 - 当前地址 - 当前指令长度 = offset
0xffffffff8100aac0 - 0xffffffff8146f847 - 5 = 0xFFFFFFFFFFB9B274 & 0xFFFFFFFF = 0xFFB9B274

所以我们只要定义个参数完全一致的新函数new_sys_execve()，把sys_execve()的对应偏移ffb9b274替换成new_sys_execve()的相对偏移即可。

static asmlinkage long new_sys_execve(const char __user * filename,
				const char __user * const __user * argv,
				const char __user * const __user * envp, struct pt_regs *regs) {
	size_t exec_line_size;
	char * exec_str = NULL;
	char ** p_argv = (char **) argv;
    long ret = 0;

    /* (1) pre hook 点 */

	/* Finally, call the original sys_execve */
    /* (2) 调用原始系统调用 */
	ret = orig_sys_execve_fn(filename, argv, envp, regs);

    /* (3) post hook 点 */
    printk("orig_sys_execve_fn ret = %d\n", ret);

    return ret;
}

具体代码放在inlinehook_syscall_example。

参考文档：

1.x86平台inline hook原理和实现
2.execmon
3.Linux x64下hook系统调用execve的正确方法

pwl999
关注
  • 3
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
修改MSR对syscall指令HOOK
12-12
修改MSR（lstar）对syscall指令HOOK. 本身在win7 x64 sp1使用VS2013开发。
inline hook 源码
11-14
**inline hook**是一种在程序运行时修改代码行为的技术，它涉及到计算机编程中的底层知识，特别是与操作系统、处理器架构和动态代码篡改相关的概念。本文将深入探讨inline hook的原理、实现方式以及它在x86和x64架构...
利用`inline_syscall`实现高效的系统调用
gitblog_00031的博客
05-19 325
利用inline_syscall实现高效的系统调用 项目地址:https://gitcode.com/JustasMasiulis/inline_syscall 在编程世界中，优化和效率是永恒的主题。今天，我们向您推荐一个独特的开源项目——inline_syscall。这个头文件库允许您以优化、内联且易于使用的模式直接生成系统调用指令，特别适用于Windows平台上的x64架构，且使用Clang编...
推荐开源项目：SyscallHook - 系统调用监控与钩子大师
最新发布
gitblog_00083的博客
05-23 294
推荐开源项目：SyscallHook - 系统调用监控与钩子大师 项目地址:https://gitcode.com/AnzeLesnik/SyscallHook 在深入探讨 SyscallHook 这个开源项目之前，我们先要理解它的起源和核心价值。SyscallHook 是基于 Nick Peterson 的 InfinityHook 项目进行改良的版本，针对 Windows 10 20H1 及其...
Linux syscall Hook
钞sir的博客
03-26 1634
简介 Linux程序基本都是靠系统调用(syscall)来实现的, 所以可以控制到syscall, 就可以对程序进行监控或修改了; 前置知识 我们知道现在系统中程序分为64位和32位的, 系统为了兼容这些程序对系统函数的调用方法进行了简单的区分,最直观的就是64位程序使用syscall来调用系统函数,而32位的程序使用的是int 0x80, 比如这里的sleep函数的系统调用: 64位程序: 32位程序: 当然, 不是简单一个syscall命令或者int 0x80命令就可以完成一个系统调用, 还有一个系
VT Msr Hook Syscall
小烟的博客
02-26 655
VT Hook Syscall
Hook技术--③Linux系统调用劫持 hook
一些个人笔记，写的不好之处，还请海涵
10-31 506
使用Makefile编译，insmod插入内核模块后，再执行ls时，就会进入到我们的系统调用，我们可以在hook代码中删掉某些文件，ls就不会显示这些文件，但是这些文件还是存在的。当用户态发起一个系统调用时，会通过80软中断进入到syscall hander，进而进入全局的系统调用表sys_ call _table去查找具体的系统调用，那么。系统调用劫持的目的是改变系统中原有的系统调用，用我们自己的程序替换原有的系统调用。,系统调用表实际上是指针数组,下标是系统调用号,
代码实例分析android中inline hook
08-28
Android 中的 Inline Hook 技术详解 Android 中的 Inline Hook 技术是指在 Android 操作系统中，使用 Hook 技术来拦截和修改应用程序的行为。Inline Hook 是一种常用的 Hook 技术，通过在应用程序的代码中注入一段...
使用 NtSetInformationProcess hook syscall
05-30
本文将详细探讨如何使用NtSetInformationProcess来hook（钩子）系统调用，以及其在文件`instrumentation-callbacks-master`中的应用实例。 首先，理解“hook”技术。在编程中，hook是一种机制，允许开发者在特定...
Inline Hook_inlinehook_x86_x64_64位HOOK_
09-28
Inline Hook是一种技术，主要用于在程序运行时修改函数的行为。它涉及到计算机编程中的底层技术，特别是逆向工程和软件调试领域。Inline Hook的核心是通过在原函数的代码中插入额外的指令来实现对函数调用的拦截，...
SyscallTables-master(syscall hook源码)
01-08
这是看雪论坛转载过来的,方便大家下载,实测可用而且很好用
使用内核三步实现InlineHook的详细分析
07-06
Inlinehook.通俗的说就是对函数执行流程进行修改。达到控制函数过滤操作的目的。理论上我们可以在函数任何地方把原来指令替换成我们的跳转指令，也确实有些人在inlineHook的时候做得很深，来躲避inlineHook的检测。...
【BUUCTFPwn】Ciscn_2019_s_3 | SROP SigreturnFrame函数使用
m0_55368674的博客
02-18 475
【BUUCTFPwn】Ciscn_2019_s_3 | SROP SigreturnFrame函数使用
记一次设备不断重启的排查经历
逸兴遄飞的专栏
11-27 663
设备不断重启排查记问题现象排查过程问题结论&amp;amp;解决方案排查总结鸣谢&amp;amp;参考资料 实际上事情已经过去好几天了，最近稍微松懈一些，决定对之前遇到的一个奇怪问以及题排查过程记录一下。 问题现象 设备起来，用uptime查看设备的负载不断增高，设备24核，启动后正常的负载18左右。 负载不断增高，达到160左右设备重启，周而复始。 排查过程 负载很高时候free -m查看设备的剩余内...
学习记录--HooKSystemCall
weixin_30563917的博客
03-17 304
前言： 这两天看了一个github上的项目，记录一下学习的心得。 Win32 API大多数都要从Ring3层进入Ring0层，在内核中完成主要操作。这中间肯定要经过KiFastSystemCall这个过程，这个调用是Ring3层的。这些知识在《Windows内核安全与驱动开发》21章中。 项目： HookSystemCall大致原理就是自己构建一个类似SSDT的东西，当有函数通过KiFas...
Process-Instrumentation-Syscall-Hook: 系统调用钩子和进程监控工具
gitblog_00002的博客
03-05 401
Process-Instrumentation-Syscall-Hook: 系统调用钩子和进程监控工具 本文将为您介绍一个开源项目——Process-Instrumentation-Syscall-Hook，它是一个基于 Linux 内核的系统调用钩子和进程监控工具。这款工具可以帮助您更好地理解和控制您的应用程序在运行时的行为。 一、项目简介 Process-Instrumentation-Sy...
do_syscall_64 函数
qq_38248064的博客
09-12 410
x86_64 4.15.1内核do_syscall_64 函数中nr和ori_ax和ax中根本不是系统调用号，我看网上帖子都是说系统调用号，我真是无语了。我是自己编译内核打印nr ori_ax ax值得，不知道网上帖子有没有测试，就在哪里瞎扯淡。
syscall的原理
clh01s的博客
12-27 1053
引言：分析Android源码的过程中，要想从上至下完全明白一行代码，往往涉及app、framework、native一直到kernel，可能迷失到代码世界，明白了系统调用原理，或许能帮你峰回路转，找到进入kernel函数的入口。本文主要讲解ARM架构相关源码： /bionic/libc/kernel/uapi/asm-arm/asm/unistd.h /bionic/libc/arch-arm/...
inlinehook下载
07-09
InlineHook是一种用于动态修改程序执行流程的技术，常用于逆向工程、安全研究和移动应用开发。它能够拦截指定的函数调用，并在其执行之前或之后插入自定义的代码，从而改变程序的行为。 要进行InlineHook下载，首先...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值