c - 在linux中拦截执行的命令

Question

我需要知道是否可以在可加载内核模块中拦截用户执行的命令。我知道可以拦截系统调用，例如 open()。但我需要做的是拦截用户输入的命令/过程并添加一些验证。例如，如果用户输入 cp 命令，在执行命令之前我需要对其执行一些验证。如果我们不能在 LKM 中做到这一点，有哪些替代方法？

Answer 1

您需要查看 execvp() 有多少实际系统调用和 friend (可能是 1 个，也可能是 2 个——可能更多，但可能不是)，然后拦截这些系统调用。您可能需要担心 posix_spawn()还有 friend 。它们是运行新进程的唯一方式。没有任何其他方法可以拦截它们。