函数中间的 Kprobe/Jprobe

Question

我想拦截fs/binfmt_elf.c文件中的load_elf_binary函数，从通过参数传递给它的文件中读取一些自定义节标题，并在从返回之前设置一些寄存器（eax，ebx，ecx，edx）函数。

现在我读到 Jprobes 是访问目标函数参数的好方法，但问题是一旦控件从 Jprobes 函数返回，寄存器和堆栈值就会按照它的规范恢复，所以我正在研究绕过它并可能在函数的中间插入一个探针（最好是在最后）将是一个好主意。如果我错了，请纠正我并帮助解决这个问题。

Answer 1

那么，让我看看我是否理解你的正确做法。

您已经修改了 CPU（在模拟器中运行？），以便指令 0xF1 执行某种加密操作。您希望安排 load_elf_binary 在返回时调用该指令，并为该指令正确设置寄存器以发挥其魔力。不知何故涉及自定义部分。

按照您所说的方式，这将很难做到。有几个主要问题：

1. 我不确定你的威胁模型是什么，但是如果你的魔术 CPU 指令只是直接解密映射的数据，你将修改 linux 页面缓存中的页面，并且解密的代码或数据将对其他进程可见映射这些页面。
2. 此外，如果内核稍后释放页面，加密数据将重新加载到内存中，导致在不可预知的时间崩溃。
3. 如果某些进程使这些页面变脏，解密的数据将被刷新回磁盘，在磁盘上留下混合的解密和加密数据。
4. 如果您使用 JProbe，您的回调会在进入该函数时被调用，无论如何这还为时过早。

总而言之，这不会像你所说的那样奏效。

更好的方法可能是定义自己的 binfmt（或替换 elf_format 中的 load_binary 回调）。然后您的 binfmt 可以以任何需要的方式加载二进制文件。如果你想利用现有的 ELF 加载器，你可以委托给 load_elf_binary，然后在返回时做任何你需要的操作来操作加载的进程，而不需要任何 JProbe 的东西。

在任何一种情况下，请务必将您正在加密/解密的所有页面重新映射为MAP_PRIVATE，并在更改其内容之前将它们标记为脏页。