Linux カーネル機能をインターセプトするには、次のソリューションを使用してみてください。

次のソリューションを使用して、Linux カーネル機能をインターセプトしてみることができます。

Linux セキュリティ API の使用

ベスト プラクティスの観点から、このソケットはこの目的のために設計されているため、Linux セキュリティ API のフック機能を使用することが最良の選択であると考えています。カーネル コードの重要なポイントにはセキュリティ関数呼び出しが含まれており、これによりセキュリティ モジュールのインストールがエスカレートする可能性があります。このモジュールは、特定の操作のコンテキストを調査し、それを許可するか禁止するかを決定できます。残念ながら、LinuxSecurityAPI には 2 つの大きな制限があります:

実際のところ、システムに複数のセキュリティ モジュールを含めることができるかどうかについては、カーネル開発者によってさまざまな考えがあり、モジュールを動的にロードできないことは確かな事実です。システムが最初から安全であることを保証するには、セキュリティ モジュールがカーネルの一部である必要があります。このため、Linux セキュリティ API を使用するには、カスタム Linux カーネルを作成する必要があります。

システムコールテーブルの変更

これは主にユーザーアプリケーションが実行する操作に使用されるため、システムコールレベルで実装できます。すべての Linux システム コール ハンドラーは sys_call_table テーブルに保存されます。この表の値を変更すると、システムの動作が変更されます。これを行うには、古いハンドラー値を保存し、独自のハンドラーをテーブルに追加することでシステム コールをフックします。これらの方法にもいくつかの利点と欠点があります。

主な利点は次のとおりです:

ただし、これらの方法にはいくつかの欠点もあります:

技術的な実装はさらに複雑です。実際、テーブル Call linux kernel function の値を置き換えることは難しくありませんが、個別の条件といくつかの明確ではない解決策を必要とする追加のタスクがいくつかあります。

システムコールのみをフックします。このアプローチではシステム コール ハンドラーを置き換えることができるため、エントリ ポイントが大幅に制限されます。追加の検出はすべて、システム コールの前または直後に実行できます。必要なのは、システム コール パラメータとその戻り値だけです。したがって、プロセスのアクセス権限やシステムコールパラメータの有効性を注意深く確認する必要がある場合があります。場合によっては、ユーザー プロセス メモリを 2 回コピーする必要があり、追加費用が発生することが報告されています。たとえば、パラメータが時計の針を介して渡されると、2 つのコピーが存在します。1 つは自分たちで作成したもの、もう 1 つは元のハンドラーによって作成されたものです。

Kプローブを使用する

Kprobes — Linux カーネルのトレースとデバッグ用に設計された API。 Kprobes を使用すると、関数エントリ ハンドラーや関数戻りハンドラーだけでなく、カーネル命令のプリプロセッサとポストプロセッサをインストールできます。ハンドラーはレジスターにアクセスし、レジスターを変更できます。このようにして、ファイルの実行フローを監視し、変更する機会が得られます。

Kprobes を使用して Linux カーネル機能を追跡する主な用途は次のとおりです。

Kprobe には欠点もあります:

スプライシング

カーネル関数フックを構成する古典的な方法: 関数の先頭の命令をカスタム ハンドラーへの無条件ジャンプに置き換えます。元の命令は別の場所に配線され、インターセプトされた関数に戻る前に実行されます。このため、2 つのジャンプにより、コードを関数に接続できます。これは、kprobes ジャンプの最適化と同じように機能します。スプライシングを使用すると、kprobe を使用した場合と同じ結果が得られますが、オーバーヘッドが少なく、プロセスを完全に制御できます。

スプライシングを使用する利点は非常に重要です:

ただし、これらの方法には技術的な複雑さという大きな欠点があります。関数内のマシンコードを置き換えるのは簡単ではありません。スプライシング を使用して Linux カーネル関数 を呼び出すには、次の操作を完了する必要があります:

比較的に言えば、スプライシングは Linux カーネル関数をフックする非常に便利な方法かもしれません。しかし、このメソッドの実装は複雑すぎます。なぜなら、私たち自身の能力やその他のインセンティブを考慮すると、当面はこれらの方法を採用する準備ができていないため、これらを候補として使用します。

以上がLinux カーネル機能をインターセプトするには、次のソリューションを使用してみてください。の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。