linux内核hook技术之跳转指令偏移值

本文主要是介绍linux内核hook技术之跳转指令偏移值，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

前言

在另一篇博文中提到了指令覆盖和指令注入的hook方式，使用覆盖和注入方式完成内核函数hook，需要有很多的注意事项，而且容易被检测工具检测。这篇博文则聊一下如何通过替换跳转指令偏移值来完成内核函数的hook，这种hook技术也可以称为inline hook。

事先做个准备工作，手头正好有centos 6系列操作系统，还有一个热腾腾刚出锅的vmlinux。通过 gdb vmlinux，所示如下：

如图片所示，sys_open通过call指令调用了do_sys_open函数，我们通过 cat /proc/kallsyms | grep sys_open cat /proc/kallsyms | grep do_sys_open可以找到函数的真实地址。

其中call指令的指令码是0xe8，call指令后面的4字节是偏移值offset。

offset = 要跳转的函数地址 - call指令当前地址 + 5，其中5表示call指令占用了5个字节。

也就是说 offset = 要跳转的函数地址 - call指令下一条指令的地址

如何hook

我们可以通过kallsyms_lookup_name找到sys_open和do_sys_open的函数地址，则可以从sys_open开始逐字节查找指令码，从而找到call do_sys_open的指令位置，将call后面的偏移值替换称新的偏移值即可完成do_sys_open函数的hook功能。

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/kallsyms.h>
#include <linux/types.h>
#include <linux/cpu.h>
#include <linux/stop_machine.h>#define HOOK0_HOOK_FIRST_NAME  "sys_open"
#define HOOK0_HOOK_SECOND_NAME  "do_sys_open"typedef unsigned long (* kallsyms_lookup_name_t)(const char *name);
typedef long (* hook0_do_sys_open_t)(int dfd, const char __user *filename, int flags, int mode);static ulong kallsyms_lookup_name_address;
static void *hook0_function_first;
static void *hook0_function_second;static kallsyms_lookup_name_t hook0_lookup_name;
static ulong g_wpbit_val = 0;/**钩子函数* 通俗点说就是想为所欲为的地方* */
static long hook0_new_function(int dfd, const char __user *filename, int flags, int mode)
{hook0_do_sys_open_t p_orig_func;/*将do_sys_open函数地址赋值给p_orig_func*/p_orig_func = (hook0_do_sys_open_t)hook0_function_second;printk("this is hook body\n");/*做完自己想做的事情,记得把系统原有的工作也完成一下*/return p_orig_func(dfd, filename, flags, mode);
}/**写保护关闭函数* */
static void hook0_clear_wpbit(void)
{ulong val = read_cr0();g_wpbit_val = val;val &= 0xfffffffffffeffff;write_cr0(val);
}/** 写保护位恢复函数* */
static void hook0_recover_wpbit(void)
{write_cr0(g_wpbit_val);
}/**钩子函数注入的地方*此处主要通过修改偏移值来实现的* */
static int hook0_do_hijack(void *arg)
{unsigned char *pins_code;int maxsize = 128, i;long tmp_offset, real_offset, new_offset = 0;/**hook0_function_first是sys_open的地址* */pins_code = hook0_function_first;hook0_clear_wpbit();for (i = 0; i < maxsize; i++) {/**查找调用do_sys_open的位置*通过gdb vmlinux发现sys_open中调用do_sys_open使用了call指令* call指令的指令码值是e8,后面存储偏移量* eg: call offset 等同于 e8 offset* */if ((unsigned char)pins_code[i] == 0xe8) {/*发现跳转指令call*/tmp_offset = *((int *)(pins_code + i + 1));real_offset = (long)hook0_function_second - ((long)pins_code + i + 5);/*比较当前跳转指令后的偏移值是否是do_sys_open的偏移值*/if (tmp_offset == real_offset) {/*找到调用do_sys_open的指令位置*offset调整为距hook0_new_function的偏移,来完成hook0_new_function的调用*/new_offset = (long)hook0_new_function - ((long)pins_code + i + 5);*((int *)((long)pins_code + i + 1)) = new_offset;break;}}}hook0_recover_wpbit();return 0;
}static int hook0_recover_hijack(void *arg)
{unsigned char *pins_code;int maxsize = 128, i;long tmp_offset, real_offset, new_offset = 0;/**hook0_function_first是sys_open的地址* */pins_code = hook0_function_first;hook0_clear_wpbit();for (i = 0; i < maxsize; i++) {/**查找调用hook0_new_function的位置* 参照hook0_do_hijack * */if ((unsigned char)pins_code[i] == 0xe8) {/*发现跳转指令call*/tmp_offset = *((int *)(pins_code + i + 1));real_offset = (long)hook0_new_function - ((long)pins_code + i + 5);/*比较当前跳转指令后的偏移值是否是hook0_new_function的偏移值*/if (tmp_offset == real_offset) {/*找到调用hook0_new_function的指令位置*offset调整为距原有函数do_sys_open的偏移,来完成恢复的调用*/new_offset = (long)hook0_function_second - ((long)pins_code + i + 5);*((int *)((long)pins_code + i + 1)) = new_offset;break;}}}return 0;
}static int hook0_init(void)
{/** kallsyms_lookup_name函数的地址,*在insmod装载时由参数kallsyms_lookup_name_address传递*/hook0_lookup_name = (kallsyms_lookup_name_t)kallsyms_lookup_name_address;/** 查找将要劫持的函数地址,此处使用内核提供的kallsyms_lookup_name函数*/hook0_function_first = (void *)hook0_lookup_name(HOOK0_HOOK_FIRST_NAME);hook0_function_second = (void *)hook0_lookup_name(HOOK0_HOOK_SECOND_NAME);stop_machine(hook0_do_hijack, NULL, 0);return 0;
}static void hook0_exit(void)
{stop_machine(hook0_recover_hijack, NULL, 0);return;
}module_init(hook0_init);
module_exit(hook0_exit);
module_param(kallsyms_lookup_name_address, ulong, 0644);
MODULE_LICENSE("GPL");

该代码也是在centos 6系列的系统上编译和测试过，使用其他系统的朋友可能需要进行一些微调整。