怎么把截获的系统调用实时地记录到文件？？？

cuicn_21

大家来想想吧
:eek:

cuicn_21

:eek:

owl

做个新的系统调用，创建一个内核模块，拦截所有系统调用，然后用printk打印出来。编写应用程序执行这个调用，然后将这个程序的输出重定向到某个文件不就行了。

keenor

请教楼上的，printk打印出来的东西能重定向吗？

keenor

我写了下面代码，实现了open()系统调用对文件操作（创建文件）。其他调用你自然就明白了：

1. 
   
2. /*************************************
   
3. *
   
4. * kopen.c by keenor [email]keenor@sohu.com[/email]
   
5. * gcc -O2 -I/usr/src/linux/include -c -o kopen.o kopen.c
   
6. * 4/16/2003
   
7. *
   
8. * ***********************************
   
9. */
   
10. 
    
11. #ifndef __KERNEL__
    
12.         #define __KERNEL__
    
13. #endif
    
14. 
    
15. #ifndef MODULE
    
16.         #define MODULE
    
17. #endif
    
18. 
    
19. #include <linux/modversions.h>
    
20. #include <sys/syscall.h>
    
21. #include <linux/kernel.h>
    
22. #include <linux/module.h>
    
23. #include <asm-i386/uaccess.h>
    
24. #include <asm-i386/segment.h>
    
25. #include <linux/types.h>
    
26. #include <linux/unistd.h>
    
27. #include <linux/fs.h>
    
28. 
    
29. extern void *sys_call_table[];
    
30. 
    
31. int (*open)(char *, int, int);
    
32. 
    
33. int kread_init(){
    
34. 
    
35.         open = sys_call_table[SYS_open];
    
36. //        printk("<1>%s%x\n", "open=", (unsigned long)open);
    
37. 
    
38.         mm_segment_t old_fs_value=get_fs();
    
39. 
    
40.         set_fs(get_ds());
    
41.         int res = open("/aaa", O_CREAT|O_RDWR|O_EXCL, 0640);
    
42. //        printk("<1>%s%d\n", "res of open = ", res);
    
43.         set_fs(old_fs_value);
    
44.        
    
45.         return 0;
    
46. }
    
47. 
    
48. void kread_cleanup(){
    
49.         //
    
50. }
    
51. 
    
52. module_init(kread_init);
    
53. module_exit(kread_cleanup);
    
54. MODULE_LICENSE("GPL");
    
55. 
    

复制代码

编译通过，我的内核为2.4.20，老内核你再改改吧：）。执行insmod kopen.o 后会在产生 /aaa 文件，权限为640。
注意：redhat等某些dist的某些版本内核并不输出 sys_call_table 符号，这种情况下你可以考虑升级内核，或者把原来的内核原码的sys_call_table输出(还是升级内核好:p)。

cuicn_21

请帮忙想想截获read,write的方法！，谢谢

bhlyy1976

最初由 owl 发表
做个新的系统调用，创建一个内核模块，拦截所有系统调用，然后用printk打印出来。编写应用程序执行这个调用，然后将这个程序的输出重定向到某个文件不就行了。

请问你有没有实现过截获所有的系统调用，我这么做了，但是执行的时候总是出错，请指教！谢谢！

ZeroC

呵呵，这位兄台真是说笑， 你的code不但不能截获  而且可能导致overflow,况且你所调用head file也不对路。


你的初始化里面的code只能算个定义。

但结果不是最终的。

keenor

您说的是。
我写那个代码的时候确实太有点无知和狂妄了。这样的帖子留着只能让人笑话，教人误入歧途。后来总想把这个帖删了，可是已经超过了可以删除的时间。希望斑竹看见的话把我那个code删掉，多谢！

ZeroC

那也不必， 我们可以加工一下的，

呵呵