在内核中寻找内核符号表

桃扇骨 2022-08-24 05:24 175阅读 0赞

from:http://hi.baidu.com/wzt85/blog/item/eb8546f2a64e7616b17ec548.html

在用户空间中可以用如下方法得到：  
  
1. 从 System.map 文件直接得到地址。  
   例如，要得到 do\_fork 的地址，可以在命令行执行 $grep do\_fork /usr/src/linux/System.map 。  
2. 使用 nm 命令。  
   $nm vmlinuz |grep do\_fork  
3. 从 /proc/kallsyms 文件获得地址。  
   $cat /proc/kallsyms |grep do\_fork  
  
在2.6较早的版本中可以用kallsyms\_lookup\_name()来查找， 但是在我得2.6.18中好像没有导出。  
  
贴一下wnps0.26中使用的方法， 前几天看了下《LKM Rootkits on Linux x86 v2.6》的中文版，里面有段寻找内核符号的代码， 怎么看都眼熟， 在仔细看原来是偶wnps的代码^\_^  
  
/\*\*  
\* read\_kallsyms - find sysenter address in /proc/kallsyms.  
\*  
\* success return the sysenter address,failed return 0.  
\*/  
\#define SYSENTER\_ENTRY "sysenter\_entry"  
int read\_kallsyms(void)  
\{  
   mm\_segment\_t old\_fs;  
   ssize\_t bytes;  
   struct file \*file = NULL;  
   char \*p,temp\[20\];  
   int i = 0;  
  
   file = filp\_open(PROC\_HOME,O\_RDONLY,0);  
   if (!file)  
       return -1;  
  
   if (!file->f\_op->read)  
       return -1;  
  
   old\_fs = get\_fs();  
   set\_fs(get\_ds());  
  
   while ((bytes = file->f\_op->read(file,read\_buf,BUFF,&file->f\_pos))) \{  
       if (( p = strstr(read\_buf,SYSENTER\_ENTRY)) != NULL) \{  
           while (\*p--)  
               if (\*p == '/n')  
                   break;  
  
           while (\*p++ != ' ') \{  
               temp\[i++\] = \*p;  
           \}  
           temp\[--i\] = '/0';  
           sysenter = simple\_strtoul(temp,NULL,16);  
\#if DEBUG == 1  
           printk("sysenter: 0x%8x/n",sysenter);  
\#endif  
           break;  
       \}  
   \}  
  
  
   filp\_close(file,NULL);  
  
   return 0;  
\}