0

したいこと

特定のシステムコールの引数(中身)をログとして記録したいです。

writev(1, [{iov_base="l", iov_len=1}, {iov_base=NULL, iov_len=0}], 2) = 1

躓いているところ

フックしたいシステムコールはわかっていますが、それに必要なヘッダだったり、コードの書き方がわからないです。

以下のコードを参考に書いていますが、そもそも以下のコード(パケットキャプチャのコード)自体も、変数がきちんと定義されていないというエラーが出ており、お手上げ状態です。

Linuxカーネルを読解してパケットキャプチャツールを作ろう!カーネルモジュール開発入門!

やったこと

第3回 侵入者の不利な情報を隠すLKM rootkitの仕組み

unameシステムコールをフックする方法も試しましたが、.oファイルはinsmodできないのと、makefileを書いてみましたが、

 fatal error: sys/syscall.h: No such file or directory
    7 | #include <sys/syscall.h>

と出てきます。 unistd.hに変更してもダメでした。

教えてほしいこと

LKMでシステムコールのフックはできるのでしょうか?
他に、システムコールの内容を盗み見できる手法(ptraceは知っています)はないのでしょうか。

よろしくお願いします。

9
  • 「教えてほしいこと」への回答ではないですが、(Linuxにおいては)syscall(2)はglibcの拡張なのでlibc-devのインストールが必要なようですが、インストールされていますか?
    – alpha
    Commented 2023年8月19日 11:16
  • インストールしてあります。 ``` linux-libc-dev is already the newest version (5.15.0-79.86). linux-libc-dev set to manually installed. ```
    – lapis
    Commented 2023年8月20日 2:14
  • linux-libc-devではなくて、libc6-dev(6の部分は何かのバージョン?)の方です。
    – alpha
    Commented 2023年8月20日 3:04
  • 失礼しました。 apt list --installed | grep libc | grep dev libc6-dev/jammy-updates,now 2.35-0ubuntu3.1 amd64 [installed,automatic] 入ってはいるようです。
    – lapis
    Commented 2023年8月20日 6:15
  • もしかして、/usr/include/sys/syscall.hではなくて/usr/include/syscall.hに入ってますか?find /usr/include -name 'syscall.h'してみてください。
    – alpha
    Commented 2023年8月20日 8:18

1 件の回答 1

1

LKMでシステムコールのフックはできます。
実例だと、ウイルス対策ソフトがI/O系のシステムコールをフックして監視や検疫を行なっています。

#フックの方法は、コメント欄に記述があるので割愛します。


LKMの参照記事がかなり古い(2003年)ので、最新の情報を参照することをお勧めします。
ディストリビューションによって、準備の手順に差異はあると思いますが、ビルドの手順は以下の通りと思います。(RHEL8の文書)

カスタムカーネルモジュールのコンパイル

https://access.redhat.com/documentation/ja-jp/red_hat_enterprise_linux/8/html/managing_monitoring_and_updating_the_kernel/proc_compiling-custom-kernel-modules_managing-kernel-modules

#最新のLinuxだと、make modulesでビルドして、.koファイルを作成する必要があるかと。

1
  • ありがとうございます。 頑張ってやってみます。!
    – lapis
    Commented 2023年8月20日 10:18

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。