Адрес syscall table

Зачем тебе этот адрес?

Подменять syscall'ы, это же очевидно.

Если я прав и ты действительно хочешь подменять системные вызовы, может быть этот пример тебе поможет:

#define CR0_WP 0x00010000 // Write Protect Bit

static unsigned long** sys_call_table;
asmlinkage long (*old_sys_open)(const char __user* filename, int flags, umode_t mode);

asmlinkage long new_sys_open(const char __user* filename, int flags, umode_t mode)
{
    // TODO: Add code here
    return 0;
}

static unsigned long** find_sys_call_table(void)
{
    unsigned long int offset = PAGE_OFFSET;
    while(offset < ULLONG_MAX) {
        unsigned long** table = (unsigned long**) offset;
        if(table[__NR_close] == (unsigned long*) sys_close)
            return table;
    
        offset += sizeof(void*);
    }

    return NULL;
}


static int __init interceptor_init(void)
{
    if(!(sys_call_table = find_sys_call_table()))
        return -1;

    unsigned long cr0 = read_cr0();
    write_cr0(cr0 & ~CR0_WP);

    old_sys_open = (void*) sys_call_table[__NR_open];
    sys_call_table[__NR_open] = (unsigned long*) new_sys_open;

    write_cr0(cr0);
    return 0;
}

Верно. Только у меня уже все отлажено и все упирается в этот адрес, который не могу найти на некоторых ядрах.

Я находил её прямолинейным образом:

https://gist.github.com/ilammy/f39b7366f9dd2f15479d#file-locate_sct-c

https://github.com/milabs/kmod_hooking_sct

Мне недавно понадобилось подобное: Вытащить kernel symbols из zImage. Проблема до сих пор не решена.

ilammy, i82, может есть ещё какие полезные ссылки?

http://phrack.org/issues/68/6.html

Это только за шекель.

Как страшно жить! Оно что, не экспотировано и его надо исать ручками по всему .data? o_O

В BSD syscall таблицу просто видно как:

const struct sysent *callp;

Как страшно жить!

Вот поэтому заботятся о нашей безопасности. В ядре 4.7 вообще добавили ещё одну фичу для «повышения» безопасности. Побочный эффект: даже если есть исходники к модулю, он может просто не загрузиться, т.к. из работающего ядра удалена «в целях повышения безопасности» вся «лишняя» информация (в смысле не нужная для продавца).

В смысле, что готового нет, надо садиться и самому писать?

В BSD

Мсье не вкурсе, что код ядер BSD гораздо благородней, чище и ясней кода ядра линукс?

В каком месте он чище и ясней?