c-读取系统调用表函数地址时内核模块崩溃

Question

我正在研究rootkit并尝试挂接系统调用表。由于我已经可以从/boot/System.map-$(uname-r(中动态检索表的地址，我将代码中有问题的部分跟踪并隔离到一个独立的、更简单的模块中，如下所示。它试图检索并显示kill系统调用的地址，但insmod在模块加载时返回"Killed"，这是一个特别在强调行上引发的错误。

内核版本：5.2.0-3-amd64

模块：

#include <linux/module.h>
#include <linux/kernel.h>
typedef asmlinkage int (*sys_kill_ptr_t)(pid_t, int);
static sys_kill_ptr_t sys_kill_ptr;
static unsigned long *syscall_table;
static int __init lkm_init(void)
{
printk("[+] LKM: initn");
// System call table address in /boot/System.map-$(uname -r)
syscall_table = (unsigned long *)0xffffffff81c002a0;
printk(KERN_INFO "[+] LKM: syscall_table @ 0x%pn",  syscall_table);
printk(KERN_INFO "[+] LKM: syscall_table @ 0x%lxn", (unsigned long)syscall_table);
/* Error */
sys_kill_ptr = (sys_kill_ptr_t)syscall_table[__NR_kill];
/* Error */
printk(KERN_INFO "[+] LKM: sys_kill_ptr @ 0x%pn", (void *)sys_kill_ptr);
return 0;
}
static void __exit lkm_exit(void)
{
printk("[-] LKM: exitn");
}
module_init(lkm_init);
module_exit(lkm_exit);

dmesg：

[ 3708.343306] [+] LKM: init
[ 3708.343309] [+] LKM: syscall_table @ 0x000000004853bd64
[ 3708.343360] [+] LKM: syscall_table @ 0xffffffff81c002a0
[ 3708.343407] BUG: unable to handle page fault for address: ffffffff81c00490
[ 3708.343460] #PF: supervisor read access in kernel mode
[ 3708.343501] #PF: error_code(0x0000) - not-present page

dmesg(重新启动后(：

[   86.822522] [+] LKM: init
[   86.822525] [+] LKM: syscall_table @ 0x0000000000248a4b
[   86.822644] [+] LKM: syscall_table @ 0xffffffff81c002a0
[   86.822757] BUG: unable to handle page fault for address: ffffffff81c00490
[   86.822903] #PF: supervisor read access in kernel mode
[   86.823005] #PF: error_code(0x0000) - not-present page

我有以下问题：
(0。为什么它会崩溃？我该怎么办？(
1。为什么"%p"打印的值与"%lx"的值不同
2。为什么"%p"在重新启动后打印不同的值，而"%lx"总是打印正确的值？

Answer 1

(0。为什么它会崩溃？我该怎么办？(

如果内核配置包括CONFIG_RANDOMIZE_BASE=y，由于内核地址空间布局随机化(KASLR(，系统调用表将与system.map文件中指定的地址发生随机偏移。除了使用没有此配置选项的内核或使用nokaslr选项引导之外，您对随机化没有太多可做的事情。

您可以利用全局符号偏移相同随机量的事实。如果sys_call_table在System.map中的地址为0x0xffffff81c002a0，而system_wq在System.map的地址为0xffffffff821204b8，则您知道sys_call_table将在实时系统中的system_wq之前开始0x520218字节。

1. 为什么"%p"打印的值与"%lx"不同

内核对%p的默认处理是打印指针值的哈希版本，以避免将地址泄露给用户空间。然而，%lx并不能做到这一点。

2. 为什么"%p"在重新启动后打印不同的值，而"%lx"总是打印正确的值

%p打印的散列指针值在内核初始化期间使用随机密钥集进行散列。