Snowdream

昨天硬是沒找到正確的sys_call_table的地址，原來我之前在虛擬機上裝的ArchLinux是64位的。。
今天在真機上成功地修改了系統調用表。
測試環境：ArchLinux 2.6.24

1. 2.4.20以后的內核出于安全考慮，沒有導出sys_call_table符號，所以要先通過System.map找到sys_call_table的地址
$ cat /boot/System.map26 | grep sys_call_table
c0375680 R sys_call_table
另外也可以用nm工具獲得vmlinux中的所有符號
$ nm /usr/src/linux-2.6.24-ARCH/vmlinux | grep sys_call_table
結果一樣

2. 以添加一個把uid改成root(0)為例，寫一個內核模塊：
addcall.c

對應的Makefile：

3. 使用insmod addcall.ko載入模塊后，用dmesg可以看到the call has been added.
4. 測試程序
test.c

使用gcc -o test test.c編譯

5. 運行./test，即可看到類似的成功信息：
Previous uid = 1002
Current uid = 0

6. 卸載模塊rmmod addcall，此時再次運行./test就會失敗