Linux-Kernel-Modul: Re-Hijacking der Iterate-Funktion des virtuellen Dateisystems

Question

Eine beliebte Möglichkeit, die Prozesse vor dem Benutzer zu verbergen, ist die Iterate-Funktion für das/Proc-Verzeichnis zu hijacken. Dies kann wie folgt dar:

struct file *filep = filp_open("/proc", O_RDONLY, 0)); 
filep->f_op->iterate = p // We swap the pointer with our hacked iterate 

ich auf einem Nachweisverfahren arbeite, wo Ich mag würde die ursprüngliche Iterierte Funktion wiederherzustellen (vorausgesetzt, es wurde bereits entführt worden). Gibt es eine Möglichkeit, die ursprüngliche Iterate-Funktion zu finden, die für das Verzeichnis/proc verwendet wird?

Answer 1

Sie können einen heuristischen Ansatz versuchen. Die Adresse der ursprünglichen Funktion befindet sich im selben allgemeinen Bereich wie die anderen proc-Funktionen, während sich die Adresse der Hijacker-Funktion merklich unterscheidet. Dann parst du den Maschinencode der Hijacker-Funktion. Die Hijacker-Funktion muss zu der ursprünglichen Funktion verzweigen, bevor sie zurückkehrt, so dass Sie sich alle Verzweigungsanweisungen ansehen und prüfen, welche zu den anderen ursprünglichen Adressen passen würde.

Answer 2

Ich nehme an, Sie wissen, welche Version des Kernels Sie verwenden?

Kopieren Sie einfach diese Version der Funktion in Ihr Modul und überschreiben Sie den iterativen Zeiger mit der Adresse Ihrer Kopie.

Dies sollte funktionell gleichwertig sein, obwohl es keine Aussage darüber gibt, welche anderen Übel das Rouge-Modul entfesseln könnte.