使用Linux Kernel Module的一般目的就是擴展系統(tǒng)的功能，或者給某些特殊的設(shè)備提供驅(qū)動等等。其實利用Linux內(nèi)核模塊我們還可以做一些比較“黑客”的事情，例如用來攔截系統(tǒng)調(diào)用，然后自己處理。

下面給出一個簡單的例子，說明了其基本的工作過程。

#define MODULE

#define __KERNEL__

#include

#include

#include

#include

#include

#include

#include

#include

#include

extern void* sys_call_table[]; /*sys_call_table is exported, so we can access it*/

int (*orig_mkdir)(const char *path); /*the original systemcall*/

int hacked_mkdir(const char *path)

{

return 0; /*everything is ok, but he new systemcall

does nothing*/

}

int init_module(void) /*module setup*/

{

orig_mkdir=sys_call_table[SYS_mkdir];

sys_call_table[SYS_mkdir]=hacked_mkdir;

return 0;

}

void cleanup_module(void) /*module shutdown*/

{

sys_call_table[SYS_mkdir]=orig_mkdir; /*set mkdir syscall to the origal

one*/

}

大家看到前面的代碼了，非常簡單，我們就是替換了內(nèi)核的系統(tǒng)調(diào)用數(shù)組中我們關(guān)心的指針的值，系統(tǒng)調(diào)用在內(nèi)核中實際就是一個數(shù)組列表指針對應(yīng)的函數(shù)列表。我們通過替換我們想“黑”的函數(shù)的指針，就可以達到我們特定的目的。這個例子中我們替換了“mkdir”這個函數(shù)。這樣，用戶的應(yīng)用程序如果調(diào)用mkdir后，當(dāng)內(nèi)核響應(yīng)的時候，實際上是調(diào)用我們“黑”了的函數(shù)，而我們實現(xiàn)的函數(shù)里面是什么都沒有干，所以這里會導(dǎo)致用戶運行“mkdir”得不到結(jié)果。這個例子很簡單，但是我們可以看出，如果我們想截獲一個系統(tǒng)調(diào)用，那么我們只需要做以下的事情：

1．查找出感興趣的系統(tǒng)調(diào)用在系統(tǒng)內(nèi)核數(shù)組中的入口位置?？梢詤⒖磇nclude/sys/ syscall.h文件。

2．將內(nèi)核中原來的調(diào)用函數(shù)對應(yīng)的指針sys_call_table[X]保留下來。

3．將我們新的偽造的系統(tǒng)函數(shù)指針給sys_call_table[X]。