请问在Linux如何覆盖系统调用函数？

asert

具体是这样的，比如用户调用read,write系统函数，我如何把read,write函数的地址改成我的自定义函数的地址，然后我会在自定义的函数中自己做一些处理，之后我会调用真正的read,write，而且这在用户层是完全完全透明的。有谁知道这种技术吗？

没本

google: Linux API Hooking

souldump

ptrace系统调用。应该能满足你需要，包括查看修改read的参数。

asert

Post by souldump;1903308
ptrace系统调用。应该能满足你需要，包括查看修改read的参数。

ptrace只能用在一个特定的程序上，我的想法是只需要覆盖一次read,write系统调用,这个系统的所有程序都会调用我定义的read,write.

C_J

直接找到CODE修改read,write函数不行么？

偶是菜鸟~

dajun

内核里可以拦截系统调用,
用户层可以直接覆盖(貌似), 我试了一下,一些不明白的地方帮我解释解释:

1. 
   
2. #include <stdio.h>
   
3. #include <stdlib.h>
   
4. #include <unistd.h>
   
5. #include <sys/types.h>
   
6. #include <dlfcn.h>
   
7. 
   
8. ssize_t (*old_write)();
   
9. // old_write = 0xb7ed71a0; 这样硬覆盖不成功， 能够实现吗?
   
10. 
    
11. ssize_t write(int fd, const void *buf, const size_t count);
    
12. 
    
13. ssize_t write(int fd, const void *buf, const size_t count) {
    
14.   printf("this is my write!!!\n");
    
15.   old_write(fd, buf, count);
    
16. }
    
17. 
    
18. int main(void) {
    
19.   void *handle;
    
20.   handle = dlopen("libc.so.6", RTLD_LAZY);
    
21. // libc.so为什么不行?/usr/lib/libc.so /lib/libc.so.6不一样
    
22.   if (!handle) {
    
23.     fprintf(stderr, "%s\n", dlerror());
    
24.     exit(2);
    
25.   }
    
26.   dlerror();
    
27.   old_write = dlsym(handle, "write");
    
28.   write(1, "asd\n", 4 );
    
29.   dlclose(handle);
    
30.   return(0);
    
31. }
    

复制代码

dajun

依葫芦画瓢第二版:

1. 
   
2. 
   
3. #include <stdio.h>
   
4. #include <string.h>
   
5. 
   
6. #define write my_write
   
7. 
   
8. unsigned int my_write(int fd, char *buf, int size);
   
9. 
   
10. unsigned int my_write(int fd, char *buf, int size) {
    
11.   unsigned int ret;
    
12.   printf("haha, u r in my write\n\n");
    
13.   __asm__("movl $4, %%eax; int $0x80;"
    
14.           : "=r" (ret)
    
15.           : "r" (fd), "r" (buf), "r" (size)
    
16.           : "%eax"
    
17.           );
    
18.   return ret;
    
19. }
    
20. 
    
21. int main(void) {
    
22.   char *buf = "hahaha\n";
    
23.   unsigned int size = strlen(buf);
    
24.   unsigned int ret;
    
25. 
    
26.   write(1, buf, size);
    
27.   return(0);
    
28. }
    
29. 
    

复制代码

remote fish

当进行了覆盖后, 原始的 write 可以通过 dlopen() 打开 libc 直接加载到某一个指针上

hanchao3c

dlopen的hook其实是一种欺骗系统的方法，其实道理很简单：你写了write就会调用你的函数，而不会去找libc的。所谓的dlopen只是为了实现“继承”原始函数的功能。

再者，楼主说的是覆盖系统调用，而大家介绍的是覆盖库函数，这在有些时候区别还是有的

remote fish

那么 hanchao 兄的观点是什么呢? 当实现了自己的 write 后, 为了调用原始的 write, 除了 dlopen 或者手工实现, hanchao 兄能提供别的什么好方法吗?

如果这里要区分系统调用与库函数, 那么 hanchao 兄能提供什么覆盖系统调用的简洁方法吗?