Modulo kernel Linux: re-hijacking della funzione iterate del filesystem virtuale

Question

Un modo popolare di nascondere i processi dall'utente è quello di dirottare la funzione iterate per la directory/proc. Questo può essere fatto nel modo seguente:

struct file *filep = filp_open("/proc", O_RDONLY, 0)); 
filep->f_op->iterate = p // We swap the pointer with our hacked iterate 

Sto lavorando su un metodo di rilevazione, in cui vorrei ripristinare l'algoritmo iterativo originale (ammesso che è già stato dirottato). C'è un modo per trovare la funzione di iterazione originale che viene utilizzata per la directory/proc?

Answer 1

È possibile provare un approccio euristico. L'indirizzo della funzione originale sarà nella stessa area generale delle altre funzioni proc, mentre l'indirizzo della funzione hijacker sarà notevolmente diverso. Quindi si analizza il codice macchina della funzione hijacker. La funzione del dirottatore dovrà diramarsi alla funzione originale prima che ritorni, in modo da esaminare tutte le istruzioni del ramo e controllare quale si adatta agli altri indirizzi originali.

Answer 2

Suppongo tu sappia quale versione del kernel stai usando?

Basta copiare quella versione della funzione nel modulo e sovrascrivere il puntatore iterare con l'indirizzo della copia.

Questo dovrebbe essere funzionalmente equivalente, anche se non si può dire quali altri mali potrebbero aver scatenato il modulo rouge.