Linux çekirdek modülü: sanal dosya sisteminin yinelemeli işlevini yeniden ele geçirme

Question

Kullanıcıların süreçleri gizlemesinin popüler bir yolu,/proc dizini için yineleme işlevini ele geçirmektir. Ben orijinal yinelerler fonksiyonunu yeniden istediğiniz bir saptama yöntemi üzerinde çalışıyorum

struct file *filep = filp_open("/proc", O_RDONLY, 0)); 
filep->f_op->iterate = p // We swap the pointer with our hacked iterate 

(bunu varsayarak zaten ele geçirildiğini) şu şekildedir: Bu yapılabilir./Proc dizini için kullanılan orijinal yineleme işlevini bulmanın bir yolu var mı?

Answer 1

Sezgisel yaklaşımı deneyebilirsiniz. Orijinal fonksiyonun adresi, diğer proc fonksiyonları ile aynı genel alanda olacaktır, hijacker işlevinin adresi ise farkedilir ölçüde farklı olacaktır. Daha sonra hijacker işlevinin makine kodunu ayrıştırırsınız. Korsanlık işlevi, geri dönmeden önce orijinal işlevine dalmak zorunda kalacaktır, böylece tüm şube yönergelerine bakın ve hangisinin diğer orijinal adreslere uygun olduğunu kontrol edin.

Answer 2

Kullandığınız çekirdeğin hangi sürümünün olduğunu biliyor musunuz?

Sadece işlevin bu sürümünü modülünüze kopyalayın ve iterat işaretçisini kopyanızın adresiyle birlikte geçersiz kılın.

İşlevsel olarak eşdeğer olmalıdır, ancak başka bir kötülük rouge modülünün serbest bırakılmış olabileceğini belirtmez.