linux - jprobe do_execve 不适用于内核 4.1

Question

我想在 do_execve 上设置一个 jprobe 钩子(Hook)来捕获每个已执行的程序。

我的代码在 <= 3.2 linux 内核 (debian) 上运行。这是我在 Linux 内核 3.2 上的输出:

[  628.534037] registered: do_execve, ret: 0
[  723.995797] execve: /usr/bin/vi
[  726.807025] execve: /bin/dmesg

在 4.1 内核上我得到了相同的结果(所有内容都已注册)但是没有“execve”:

[ 8621.430568] registered: do_execve, ret: 0

这是我的代码:

static struct jprobe jprobe_hooks[] = {
{
    .entry = jdo_execve,
    .kp = { .symbol_name = "do_execve" }
}};

static long jdo_execve(const char *filename, const char __user *const __user *argv, const char __user *const __user *envp, struct pt_regs *regs)
{
   printk(KERN_INFO "execve: %s", filename );
}

// 
// registration
//
int ret, x, reg_error;

reg_error = 0;
for (x = 0; x < sizeof(jprobe_hooks) / sizeof(jprobe_hooks[0]); x++)
{
    ret = register_jprobe(&jprobe_hooks[x]);
    if (ret < 0)
    {
        printk(KERN_INFO "register_jprobe failed, returned %d, item: %s\n", ret, jprobe_hooks[x].kp.symbol_name);
        reg_error++;
    }
    else
    {
        printk(KERN_INFO "registered: %s, ret: %u\n", jprobe_hooks[x].kp.symbol_name, ret);
    }
}

当我在 kallsyms 上执行 grep 时，我进入了 3.2:

 grep do_execv /proc/kallsyms
 ffffffff81100650 T do_execve

和 4.2:

grep do_execv /proc/kallsyms
ffffffff811d2950 T do_execve
ffffffff811d2980 T do_execveat

我什至尝试将函数(因为 do_execve 原型(prototype)已更改)更改为:

static int jdo_execve(struct filename *fname, const char __user *const __user *__argv, const char __user *const __user *__envp)
{
    int i = 0;

    printk(KERN_INFO "execve: %s ", fname->name );
}

即使这样也无济于事。

我可以在 do_fork 或 sys_open 等其他函数上设置 Hook ，但不能在 do_execve 上设置。为什么？有人有想法吗？为什么它不再工作了？

编辑:

我也在 hook do_execveat:

 static int jdo_execveat(int fd, struct filename *fname, const char __user *const __user *__argv, const char __user *const __user *__envp, int flags)

Answer 1

有几个问题可能会阻止您发送 jprobe 消息:

1. 您没有使用换行符结束打印消息 printk(KERN_INFO "execve: %s", filename );，因此您的日志缓冲区没有被刷新。
2. API 已更改。现在 do_execve 的文件名参数为 struct filename。
3. 您的 jprobe 代码很愚蠢:您没有模块入口，jprobe 例程必须以 jprobe_return() 调用结束等等。在“samples/kprobes”查看内核源代码树中的示例

尝试修复它 - 也许它会有所帮助。

反正我自己试过了-here是代码-事情确实看起来很奇怪。当我加载模块时，它注册了 2 个 jprobes - 一个用于 do_execve，另一个用于 do_execveat。但是我在执行程序时没有看到任何消息。 但是我看到的是像这样的定期消息:

jprobe: execve: /usr/lib/systemd/systemd-cgroups-agent

这意味着 jprobe 本身可以工作，但不是对每个 execve 调用都有效。

所以我写了a simple C program调用 execve 只是为了确保它真的被调用了，但我仍然没有任何反应 execpt systemd-cgroups-agent。