Преведено от: Андрю Иванов. Оригиналното ръководство може да откриете на този адрес

I. Основи
1. Какво представляват LKM
2. Какво представляват системните повиквания (systemcalls)
3. Какво представлява Kernel-Symbol-Table (таблица със символите на ядрото)
 

Въведение

• предишните текстове, понякога, не даваха добри обяснения за начинаещите; този текст има много обширна част посветена на основите, помагаща на начинаещите да разберат основните концепции. Срещал съм много хора, използващи добри снифъри и тям подобни без дори да разбират как тези "играчки" работят. Включих много сорс код в този файл с много коментари, просто за да помогна на начинаещите, които знаят, че хакерството е нещо повече от това да опустошаваш някакви си мрежи !
• всеки публикуван текст се концентрираше върху определена тема, не съществуваше завършено ръководство за хакери, което да засяга LKMs. Този текст ще засегне почти всички аспекти от злоупотребата с ядрото (дори вирусите)
• този текст беше написан от гледната точка на хакер / създател на вируси, но ще е от полза и за администраторите и обикновените разработчици, занимаващи се с ядрото
• предишните текстове демонстрираха най-важните изгоди и методи на злоупотреба с LKMs, но съществуват неща, за които все още не сме и чували. Този текст ще демонстрира някои нови идеи (нищо изцяло ново, но все пак няща, които могат да ни помогнат)
• този текст ще покаже някои идеи за прост начин за предпазване от LKM атаки
• този текст ще демонстрира и как да бъдат преодоляни LKM защитите чрез използване на методи като Runtime Kernel Patching ("закърпване" на ядрото в реално време)

I. Основи

1. Какво представляват LKM

int init_module(void) /*използва се за всичко свързано с инициализацията*/
 {
 
 ...
 }
 
 void cleanup_module(void) /*използва се за 'чисто' спиране на модула*/
 {
 ...
 }
 
 
 Зареждане на модул - обикновено извършвано от root - става чрез командата:
 
 

# insmod module.o
 
 
 Тази команда предизвиква извършването на следните действия от системата :

• Зареждане на обектния файл (в случая module.o)
• Извиква системно повикване create_module (за системни повиквания -> виж I.2) за презареждане на паметта
• неуточнените препратки (references) се превръщат в Kernel-Symbol-и чрез системно повикване get_kernel_syms
• след това се използва системно повикване init_module за инсталиране на LKM-а -> изпълнявайки int init_module(void) и т.н.

#define MODULE
 #include <Linux/module.h>
 
 int init_module(void)
 {
  printk("<1>Hello World\n");
  return 0;
 }
 
 void cleanup_module(void)
 {
  printk("<1>Bye, Bye");
 }
 
 
 Може би се учудвате, че използвах printk(...), а не printf(...). Е добре,
 програмирането на ниво ядро
 е напълно различно от програмирането на потребителско ниво !
 
 Разполагате с много ограничен набор от команди (виж I.6). С тези команди 
 не можете да направите кой знае какво, така че ще се научите как да използвате много от 
 функциите, които познавате от вашите потребителски програми; те ще ви помагат да хакнете ядрото.
 Само бъдете търпеливи, първо трябва да свършим още нещо...
 
 Примерният LKM, даден по-горе може лесно да бъде компилиран по следният начин:

# gcc -c -O3 helloworld.c
 # insmod helloworld.o
 
 
 Добре, нашият модул е зареден и ни показа един известен текст. Сега можете да пробвате някои 
 команди, които ще ви показат, че LKM-а наистина се разполага в рамките на ядрото. 
 
 

# lsmod
 Module         Pages    Used by
 helloworld         1          0
 
 
 Тази команда изчита информацията в /proc/modules, за да ви покаже кои
 модули са заредени в момента. 'Страниците' (pages) дават информация за паметта (колко страници
 от паметта заема модула); Полето 'използван от' (used by) ни дава информация колко често модулът
 се използва от Системата (брой обръщения). Модулът може да бъде отстранен, само когато 
 този брояч показва нула; след като проверите това, можете да премахнете модула със
 
 

# rmmod helloworld
 
 
 Е, това беше нашата първа малка стъпка (наистина мъничка) към злоупотребите с LKMs. Винаги
 съм сравнявал тези LKMs със старите TSR програми под DOS (да, знам, съществуват много разлики),
 те бяха нашата вратичка за пребиваване в паметта и прихващане на всяко прекъсване, което 
 пожелаем. Microsoftския WIN 9x има нещо наречено VxD, което също е много подобно на
 LKMs (и тук има много разлики). Най-интересното при тези резидентни програми
 е възможността да прихванеме системните функции, наричани 'системни повиквания' (systemcalls) 
 в света на Linux
 
 
 

2. Какво представляват системните повиквания (systemcalls)

#ifndef _SYS_SYSCALL_H
 #define _SYS_SYSCALL_H
 
 #define SYS_setup               0 /* Използва се само от init, за да се 'подкара' системата. */
 #define SYS_exit                1
 #define SYS_fork                2
 #define SYS_read                3
 #define SYS_write               4
 #define SYS_open                5
 #define SYS_close               6
 #define SYS_waitpid             7
 #define SYS_creat               8
 #define SYS_link                9
 #define SYS_unlink              10
 #define SYS_execve              11
 #define SYS_chdir               12
 #define SYS_time                13
 #define SYS_prev_mknod          14
 #define SYS_chmod               15
 #define SYS_chown               16
 #define SYS_break               17
 #define SYS_oldstat             18
 #define SYS_lseek               19
 #define SYS_getpid              20
 #define SYS_mount               21
 #define SYS_umount              22
 #define SYS_setuid              23
 #define SYS_getuid              24
 #define SYS_stime               25
 #define SYS_ptrace              26
 #define SYS_alarm               27
 #define SYS_oldfstat            28
 #define SYS_pause               29
 #define SYS_utime               30
 #define SYS_stty                31
 #define SYS_gtty                32
 #define SYS_access              33
 #define SYS_nice                34
 #define SYS_ftime               35
 #define SYS_sync                36
 #define SYS_kill                37
 #define SYS_rename              38
 #define SYS_mkdir               39
 #define SYS_rmdir               40
 #define SYS_dup                 41
 #define SYS_pipe                42
 #define SYS_times               43
 #define SYS_prof                44
 #define SYS_brk                 45
 #define SYS_setgid              46
 #define SYS_getgid              47
 #define SYS_signal              48
 #define SYS_geteuid             49
 #define SYS_getegid             50
 #define SYS_acct                51
 #define SYS_phys                52
 #define SYS_lock                53
 #define SYS_ioctl               54
 #define SYS_fcntl               55
 #define SYS_mpx                 56
 #define SYS_setpgid             57
 #define SYS_ulimit              58
 #define SYS_oldolduname         59
 #define SYS_umask               60
 #define SYS_chroot              61
 #define SYS_prev_ustat          62
 #define SYS_dup2                63
 #define SYS_getppid             64
 #define SYS_getpgrp             65
 #define SYS_setsid              66
 #define SYS_sigaction           67
 #define SYS_siggetmask          68
 #define SYS_sigsetmask          69
 #define SYS_setreuid            70
 #define SYS_setregid            71
 #define SYS_sigsuspend          72
 #define SYS_sigpending          73
 #define SYS_sethostname         74
 #define SYS_setrlimit           75
 #define SYS_getrlimit           76
 #define SYS_getrusage           77
 #define SYS_gettimeofday        78
 #define SYS_settimeofday        79
 #define SYS_getgroups           80
 #define SYS_setgroups           81
 #define SYS_select              82
 #define SYS_symlink             83
 #define SYS_oldlstat            84
 #define SYS_readlink            85
 #define SYS_uselib              86
 #define SYS_swapon              87
 #define SYS_reboot              88
 #define SYS_readdir             89
 #define SYS_mmap                90
 #define SYS_munmap              91
 #define SYS_truncate            92
 #define SYS_ftruncate           93
 #define SYS_fchmod              94
 #define SYS_fchown              95
 #define SYS_getpriority         96
 #define SYS_setpriority         97
 #define SYS_profil              98
 #define SYS_statfs              99
 #define SYS_fstatfs             100
 #define SYS_ioperm              101
 #define SYS_socketcall          102
 #define SYS_klog                103
 #define SYS_setitimer           104
 #define SYS_getitimer           105
 #define SYS_prev_stat           106
 #define SYS_prev_lstat          107
 #define SYS_prev_fstat          108
 #define SYS_olduname            109
 #define SYS_iopl                110
 #define SYS_vhangup             111
 #define SYS_idle                112
 #define SYS_vm86old             113
 #define SYS_wait4               114
 #define SYS_swapoff             115
 #define SYS_sysinfo             116
 #define SYS_ipc                 117
 #define SYS_fsync               118
 #define SYS_sigreturn           119
 #define SYS_clone               120
 #define SYS_setdomainname       121
 #define SYS_uname               122
 #define SYS_modify_ldt          123
 #define SYS_adjtimex            124
 #define SYS_mprotect            125
 #define SYS_sigprocmask         126
 #define SYS_create_module       127
 #define SYS_init_module         128
 #define SYS_delete_module       129
 #define SYS_get_kernel_syms     130
 #define SYS_quotactl            131
 #define SYS_getpgid             132
 #define SYS_fchdir              133
 #define SYS_bdflush             134
 #define SYS_sysfs               135
 #define SYS_personality         136
 #define SYS_afs_syscall         137 /* Syscall за файлова система Andrew */
 #define SYS_setfsuid            138
 #define SYS_setfsgid            139
 #define SYS__llseek             140
 #define SYS_getdents            141
 #define SYS__newselect          142
 #define SYS_flock               143
 #define SYS_syscall_flock       SYS_flock
 #define SYS_msync               144
 #define SYS_readv               145
 #define SYS_syscall_readv       SYS_readv
 #define SYS_writev              146
 #define SYS_syscall_writev      SYS_writev
 #define SYS_getsid              147
 #define SYS_fdatasync           148
 #define SYS__sysctl             149
 #define SYS_mlock               150
 #define SYS_munlock             151
 #define SYS_mlockall            152
 #define SYS_munlockall          153
 #define SYS_sched_setparam      154
 #define SYS_sched_getparam      155
 #define SYS_sched_setscheduler  156
 #define SYS_sched_getscheduler  157
 #define SYS_sched_yield         158
 #define SYS_sched_get_priority_max      159
 #define SYS_sched_get_priority_min      160
 #define SYS_sched_rr_get_interval       161
 #define SYS_nanosleep           162
 #define SYS_mremap              163
 #define SYS_setresuid           164
 #define SYS_getresuid           165
 #define SYS_vm86                166
 #define SYS_query_module        167
 #define SYS_poll                168
 #define SYS_syscall_poll        SYS_poll
 
 #endif  /* <sys/syscall.h> */
 
 
 Всяко системно повикване има определен номер (погледни листинга по-горе), който реално се
 използва за системно повикване.
 
 Ядрото използва прекъсване 0x80 за обслужване на всяко системно повикване. Номерът на
 systemcall-а и всички необходими аргументи се преместват в някои регистри (eax за номер на systemcall,
 напр,).
 
 номера на системното повикване представлява номер в масив на структура на ядрото, наречен
 sys_call_table[]. Тази структура съпоставя номерата на системните повиквания  и необходимите
 сервизни функции.
 
 Е, това знание трябва да е достатъчно, за да продължим с четенето. В следващата таблица е
 даден списък на най-интересните повиквания заедно с кратко описание.
 Повярвайте ми, трябва да знаете точното действие на тези повиквания, за да 
 направите наистина полезни LKMи.
 
 
 

3. Какво представлява Kernel-Symbol-Table (таблица със символите на ядрото)

static struct symbol_table module_syms= { /*дефинираме собствена таблица на символите !*/
  #include <linux/symtab_begin.h>          /*Символите които искаме да експортираме, а искаме ли ?*/
    ...                                       
 };
 
 register_symtab(&module_syms);            /*извършва истинското регистриране*/
 
 
 Тъй като не искаме да изнасяме никакви символи на показ, използваме
 следната конструкция :
 
 

<< (почти)Пълно ръководство за модулите в Linux ядрото [част 2] | Как да защитите вашият Linux (част 2) >>