系统调用捕获和分析—使用LKM方法添加系统调用

最新推荐文章于 2022-10-14 12:52:00 发布
最新推荐文章于 2022-10-14 12:52:00 发布
阅读量336 收藏 1
点赞数 2
分类专栏： 系统安全 文章标签： 系统安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42172261/article/details/125259248
版权
系统安全 专栏收录该内容
25 篇文章 21 订阅 ¥19.90 ¥99.00
订阅专栏

本文为毕业设计过程中学习相关知识、动手实践记录下来的完整笔记，通过阅读本系列文章，您可以从零基础了解系统调用的底层原理并对系统调用进行拦截。由于本人能力有限，文章中可能会出现部分错误信息，如有错误欢迎指正。另外，本系列所有内容仅作为个人学习研究的笔记，转载请标明出处。感谢您的关注！这也是作者极力推荐的一个系列文章！

完整系列文章列表
系统调用捕获和分析—通过ptrace获取系统调用信息
系统调用捕获和分析—通过strace获取系统调用信息
系统调用捕获和分析—必备的系统安全的知识点

文章目录

了解本专栏 订阅专栏 解锁全文
H4ppyD0g
关注
  • 2
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
防止恶意LKM修改Linux系统调用的方法研究.pdf
09-06
防止恶意LKM修改Linux系统调用的方法研究.pdf
[简记]内核中申请内存和用户空间中申请内存的函数(kmalloc/vmalloc/malloc)对比
lysysjw的专栏
10-18 1291
kmalloc/kzalloc 直接分配连续的物理地址(虚拟地址也是连续的),mips32架构中分配的是kseg0的低256M地址(0x80000000),不经过TLB的,访问时直接将虚拟地址的的高三bit清0就能得到物理地址. vmalloc 分配的地址连续的虚拟地址,但是物理地址不一定连续,这段虚拟地址是经过页表转换(TLB)的,mips32架构中分配的是kseg2和kseg3中的地
Linux如何动态添加新的系统调用
热门推荐
Netfilter
05-06 1万+
先来个满满的回忆： https://blog.csdn.net/dog250/article/details/6446192 2011年写这篇文章的时候，我的女儿小小还没有出生。 评价一下这篇文章，总体写得还不错，时间如白驹过隙，快十年过去了，今天我来旧事重提。 添加新的系统调用 ，这是一个老掉牙的话题。前段时间折腾Rootkit的时候，我有意避开类似HOOK劫持系统调用的话题，我主要是想来点新...
【嵌入式Linux学习七步曲之第五篇 Linux内核及驱动编程】Linux内核模块LKM的动态加载技术分析
Sailor_forever
09-20 4949
  Linux内核模块LKM的动态加载技术分析 Sailor_forever  [email protected] 转载请注明http://blog.csdn.net/sailor_8318/archive/2008/09/20/2954380.aspx 【摘要】本文详解了Linux内核模块的动态加载技术。首先介绍了Linux内核采用LKM的好处，接着介绍了内
Linux2.4.18内核下基于LKM的系统调用劫持
xpiloveyou的专栏
05-23 1065
Linux现在使用是越来越多了，因此Linux的安全问题现在也慢慢为更多人所关注。Rootkit是攻击者用来隐藏踪迹和保留root访问权限的工具集，在这些工具当中，基于LKM的rootkit尤其受到关注。这些rootkit可以实现隐藏文件、隐藏进程、重定向可执行文件，给linux的安全带来很大的威胁，它们所用到的技术主要是系统调用劫持。用LKM技术截获系统调用的通常步骤如下:找到需要的系统调用
Rootkit-LKM编程劫持系统调用，隐藏后门程序backdoor（ps，ls）
bw_yyziq的博客
11-05 4186
前言最近学习到rootkit，由于之前没怎么接触到Linux内核，系统调用具体实现这些稍底层的东西，并且参考的许多代码都是基于内核2.6的又不想重装低版本系统，所以踩了很多坑浪费了很多时间，查了许多资料，掉了许多头发，现稍整理希望能给后面采坑的人提供一点思路。 环境： Ubuntu 16.04 linux内核版本 4.10.0-37
Intercept-System-Calls:使用可加载的内核模块拦截系统调用
03-11
概念：从根本上来说，系统调用应作为内核的一部分来实现，并且每次添加系统调用时，在修改静态系统调用表后，都需要重新编译内核映像，该表跟踪所有实现的系统调用的所有函数指针。 因此，我们的目的是通过可加载的...
利用LKM提高Linux系统的安全性.pdf
09-07
利用LKM提高Linux系统的安全性.pdf
论文研究-基于系统调用的Linux系统入侵检测技术研究.pdf
07-22
提出了一种基于系统调用、面向进程的Linux系统入侵检测方法：利用LKM（Loadable Kernel Modules）技术在Linux内核空间获取检测源数据——所考察进程的系统调用，使用基于极大似然系统调用短序列的Markov模型提取进程...
扩充Linux系统功能的LKM技术.pdf
09-07
扩充Linux系统功能的LKM技术.pdf
[系统安全] windows下C++编写第一个加壳程序
H4ppyD0g的博客
12-30 3399
本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些内容，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新，由于笔者现阶段还处于初学阶段，不可避免参照复现各类书籍内容，如书籍作者认为侵权请告知，笔者将立刻删除。强调本系列所有内容仅作为学习研究使用，作者对此文章中的代码造成的任何后果不负法律责任。 前文链接 [系统安全] PE文件格式详解1 [系统安全] PE文件格式详解2 [系统安全] Windbg Preview调试记录
[系统安全]《黑客免杀攻防》逆向基础之经典脱壳基础
H4ppyD0g的博客
01-02 3143
本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些内容，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新，由于笔者现阶段还处于初学阶段，不可避免参照复现各类书籍内容，如书籍作者认为侵权请告知，笔者将立刻删除。强调本系列所有内容仅作为学习研究使用，作者对此文章中的代码造成的任何后果不负法律责任。 前文链接 [系统安全] PE文件格式详解1 [系统安全] PE文件格式详解2 [系统安全] Windbg Preview调试记录 [系统安全]《黑客免杀
[系统安全] 恶意代码分析实战基础之必备知识点和常用工具记录
H4ppyD0g的博客
01-06 3030
本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些内容，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新，由于笔者现阶段还处于初学阶段，不可避免参照复现各类书籍内容，如书籍作者认为侵权请告知，笔者将立刻删除。强调本系列所有内容仅作为学习研究使用，作者对此文章中的代码造成的任何后果不负法律责任。 前文链接 [系统安全] PE文件格式详解1 [系统安全] PE文件格式详解2 [系统安全] Windbg Preview调试记录 [系统安全]《黑客免杀
[系统安全] Windows逆向必备知识、逆向分析小实战
H4ppyD0g的博客
01-08 2890
函数调用约定 Windows API匈牙利表示法 Windows注册表 组件对象模型COM 逆向分析小实 调用约定 关键字 参数入栈顺序 堆栈回收 C标准规范 __cdecl 从右到左 调用者负责 快速调用规范 __fastcall 前几个参数寄存器传参，之后从右到左 被调用者负责 标准调用规范 __stdcall 从右到左 被调用者负责 注意函数调用约定是编译器的事情，即在把C源码编译成汇编代码时考虑；而如果只关注源码的话，除了在函数前声明使用哪种约定外，没有任何差别。 ...
[系统安全] PE文件格式详解1
H4ppyD0g的博客
12-15 2826
PE文件格式是微软Windows NT内核系列系统和 Win32子集中可执行的二进制文件格式。这种文件格式是微软基于COFF 文件格式的设计思想设计的。 COFF (Common Object File Format，通用目标文件格式）是应用于数种 UNIX系统中的目标文件和可执行文件的格式。 对应的，在linux下的可执行文件格式采用ELF（Executable and Linkable Format）。 MS-DOS头、DOS Sub MS-DOS头存在于每个PE文件中，它的存在完全是出于兼容性的考虑。
[系统安全] Windbg Preview调试记录
H4ppyD0g的博客
12-24 2309
本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些内容，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新。
[系统安全] 万字总结系统虚拟化之容器底层原理实验
H4ppyD0g的博客
02-13 2264
本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些知识，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新，由于笔者现阶段还处于初学阶段，不可避免参照复现各类书籍内容，如书籍作者认为侵权请告知，笔者将立刻删除。强调本系列所有内容仅作为学习研究使用，作者对此文章中的代码造成的任何后果不负法律责任。 前文链接 [系统安全] PE文件格式详解1 [系统安全] PE文件格式详解2 [系统安全] Windbg Preview调试记录 [系统安全]《黑客免杀
[系统安全] 逆向工程进阶篇之对抗逆向分析
H4ppyD0g的博客
10-14 2244
线性反汇编策略是遍历每一个代码段，根据二进制码进行反汇编，缺点是不会区分某个二进制码是数据还是指令，全部按照指令来反汇编。如果在一个函数开头加上这个字节码，则反汇编器会认为是一个call指令，这条call指令占用了函数开头的4个字节，从而破坏掉要这个完整的函数。通过使用windwos提供的api可以判断自己是否正在被调试，比如下面的一些函数，如果在分析的代码中看到这些函数，就说明这个代码样本在检测自身是否被调试。当恶意代码意识到自己被调试时，可以改变正常的执行路径或者修改自身程序导致崩溃而对抗调试。
[系统安全] 逆向分析之高级动态分析技术笔记
H4ppyD0g的博客
01-16 2175
本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些知识，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新，由于笔者现阶段还处于初学阶段，不可避免参照复现各类书籍内容，如书籍作者认为侵权请告知，笔者将立刻删除。强调本系列所有内容仅作为学习研究使用，作者对此文章中的代码造成的任何后果不负法律责任。 前文链接 [系统安全] PE文件格式详解1 [系统安全] PE文件格式详解2 [系统安全] Windbg Preview调试记录 [系统安全]《黑客免杀
解 释 下 列 术 语 或指令 :JTAG,BLX,MVN,LR,CPSR,SPSR,BSP, SOC,LKM,JFFS,YAFFS,GPIO,IIC, U-Boot,Thumb 状态,Thumb-2EE 状态。
最新发布
06-04
1. JTAG（Joint Test Action Group）：一种用于调试和测试电子设备的标准接口。JTAG接口可以让开发人员在不破坏设备硬件的情况下进行非侵入式的调试和测试。 2. BLX（Branch with Link and eXchange）：ARM处理器指令之一，用于跳转到指定地址并将跳转前的地址保存到寄存器中。 3. MVN（Move Not）：ARM处理器指令之一，用于对指定的寄存器进行按位取反的操作。 4. LR（Link Register）：ARM处理器寄存器之一，用于存储跳转前的地址。 5. CPSR（Current Program Status Register）：ARM处理器寄存器之一，用于存储当前程序的状态信息，如执行模式、中断使能状态、条件码等。 6. SPSR（Saved Program Status Register）：ARM处理器寄存器之一，用于存储上一个程序的状态信息。 7. BSP（Board Support Package）：嵌入式系统中的一种软件层，用于提供硬件抽象层、驱动程序、Bootloader等功能，使操作系统能够运行在特定的硬件平台上。 8. SOC（System on Chip）：一种集成度很高的片上系统，包含了处理器、内存、IO等多个功能模块，用于实现嵌入式系统的功能。 9. LKM（Loadable Kernel Module）：一种Linux内核模块，可以动态地加载到内核中，扩展内核功能。 10. JFFS（Journaling Flash File System）：一种针对闪存设计的文件系统，通过日志技术提高了文件系统的可靠性和性能。 11. YAFFS（Yet Another Flash File System）：一种针对闪存设计的文件系统，具有高效的垃圾回收机制和快速的文件系统恢复能力。 12. GPIO（General Purpose Input/Output）：通用输入输出口，用于连接外部设备和嵌入式系统中的处理器。 13. IIC（Inter-Integrated Circuit）：一种串行通信协议，用于连接多个设备，并通过两根信号线进行数据传输。 14. U-Boot：一种常用的嵌入式系统Bootloader，用于加载操作系统和应用程序。 15. Thumb状态：ARM处理器的一种指令集，用于优化代码密度。 16. Thumb-2EE状态：ARM处理器的一种指令集，扩展了Thumb指令集，并提供了更多的指令和功能。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

H4ppyD0g

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值