Snowdream

昨天硬是沒(méi)找到正確的sys_call_table的地址，原來(lái)我之前在虛擬機(jī)上裝的ArchLinux是64位的。。
今天在真機(jī)上成功地修改了系統(tǒng)調(diào)用表。
測(cè)試環(huán)境：ArchLinux 2.6.24

1. 2.4.20以后的內(nèi)核出于安全考慮，沒(méi)有導(dǎo)出sys_call_table符號(hào)，所以要先通過(guò)System.map找到sys_call_table的地址
$ cat /boot/System.map26 | grep sys_call_table
c0375680 R sys_call_table
另外也可以用nm工具獲得vmlinux中的所有符號(hào)
$ nm /usr/src/linux-2.6.24-ARCH/vmlinux | grep sys_call_table
結(jié)果一樣

2. 以添加一個(gè)把uid改成root(0)為例，寫(xiě)一個(gè)內(nèi)核模塊：
addcall.c

對(duì)應(yīng)的Makefile：

3. 使用insmod addcall.ko載入模塊后，用dmesg可以看到the call has been added.
4. 測(cè)試程序
test.c

使用gcc -o test test.c編譯

5. 運(yùn)行./test，即可看到類似的成功信息：
Previous uid = 1002
Current uid = 0

6. 卸載模塊rmmod addcall，此時(shí)再次運(yùn)行./test就會(huì)失敗