Модуль ядра Linux: перехват итерационной функции виртуальной файловой системы

Question

Популярным способом скрытия процессов от пользователя является захват итерационной функции для каталога/proc. Это может быть сделано следующим образом:

struct file *filep = filp_open("/proc", O_RDONLY, 0)); 
filep->f_op->iterate = p // We swap the pointer with our hacked iterate 

Я работаю по методу обнаружения, где я хотел бы, чтобы восстановить исходную функцию итерационный (предполагается, что это уже было похищено). Есть ли способ найти исходную функцию итерации, которая используется для каталога/proc?

Answer 1

Вы можете попробовать эвристический подход. Адрес исходной функции будет в той же общей области, что и другие функции proc, в то время как адрес функции угонщика будет заметно отличаться. Затем вы разбираете машинный код функции угонщика. Перед тем, как он вернется, функция угонщика должна перейти к исходной функции, поэтому вы посмотрите на все инструкции ветвления и проверьте, какой из них будет соответствовать другим исходным адресам.

Answer 2

Предполагаете, вы знаете, какую версию ядра вы используете?

Просто скопируйте эту версию функции в свой модуль и переопределите указатель итерации с адресом своей копии.

Это должно быть функционально эквивалентно, хотя нет никаких сведений о том, какое еще зло может развязать модуль rouge.