linux - 新的 linux 内核，没有使用 lkms 的 lsm，没有内核 Hook 现在怎么办？

Question

出于安全原因，从 2.6.24 版开始，内核停止以可加载内核模块(Linux Kernel Module，LKM)的形式导出编写安全模块所需的字符。

同样出于安全原因，您不能导出 sys_call_table。

但是，如何过滤文件系统请求？

简单说明一下:我要hook“打开”函数!

我不想编译我自己的内核版本，驱动程序有什么意义？它应该适用于所有内核。

请帮忙，我以为我会比 Windows 和 Linux 有更多的自由，但现在我发现我生命中最宝贵的部分在 Linux 中被阻止了。

Answer 1

我写了一个内核模块可以做到这一点，叫做 tpe-lkm .我还在 StackOverflow 上的其他一些与此类似的问题上提到过它:

• access to the sys_call_table in kernel 2.6+
• Reading kernel memory using a module
• intercepting file system system calls

希望其中之一可以帮助您。