3. 系统调用编号与表

系统调用是用户空间程序请求内核服务的唯一合法入口。每个系统调用都有一个唯一的编号（系统调用号），内核通过一个全局表（sys_call_table）来索引并分发这些调用。理解系统调用号的分配机制、表的结构以及注册流程，是深入分析系统调用性能与安全性的基础。

3.1 系统调用号分配机制

系统调用号（Syscall Number）是一个整数常量，用于在用户态和内核态之间唯一标识一个系统调用。分配机制遵循以下原则：

• 唯一性：每个系统调用在特定架构下拥有唯一的编号，不可重复。
• 稳定性：一旦分配，系统调用号在后续内核版本中保持稳定，不会轻易变更，以保证用户态程序的二进制兼容性。
• 架构相关性：不同CPU架构（如x86_64、ARM64、RISC-V）拥有独立的系统调用号空间，互不通用。
• 预留与扩展：内核为未来新增的系统调用预留了编号范围，并支持动态注册（如内核模块）。

下表展示了 x86_64 架构下部分常见系统调用的编号分配情况：

3.2 sys_call_table 结构

sys_call_table 是内核中一个核心的函数指针数组，其每个元素指向一个具体的系统调用处理函数。该表是系统调用分发机制的中枢。

在 x86_64 架构中，sys_call_table 的定义通常位于 arch/x86/entry/syscall_64.c 或通过汇编间接生成。其基本结构如下：

// 内核源码中的 sys_call_table 定义（简化示意）
asmlinkage const sys_call_ptr_t sys_call_table[__NR_syscall_max+1] = {
    [0 ... __NR_syscall_max] = &sys_ni_syscall,  // 默认指向未实现处理函数
    [0] = sys_read,
    [1] = sys_write,
    [2] = sys_open,
    // ... 其他系统调用
    [__NR_syscall_max] = &sys_ni_syscall,
};

关键特性：

• 数组索引：数组下标直接对应系统调用号，实现 O(1) 查找。
• 默认处理：未注册或预留的编号指向 sys_ni_syscall，该函数直接返回 -ENOSYS。
• 只读保护：现代内核将 sys_call_table 放置在只读内存区域，防止恶意篡改。
• 架构差异：ARM64 使用 sys_call_table 数组，但通过 sys_call_table_ptr 指针间接访问，支持运行时切换（如兼容层）。

下图展示了 sys_call_table 在系统调用分发中的核心位置：

3.3 系统调用注册流程

系统调用的注册流程分为静态注册（内核编译时）和动态注册（内核模块运行时）两种方式。

3.3.1 静态注册流程（内核编译时）

这是标准内核系统调用的注册方式，流程如下：

1. 定义系统调用号：在架构相关的 .tbl 文件（如 syscall_64.tbl）中分配一个新的编号。
2. 实现处理函数：编写 SYSCALL_DEFINE 宏包裹的函数体，例如 SYSCALL_DEFINE0(getpid)。
3. 生成头文件：内核构建系统根据 .tbl 文件自动生成 unistd_64.h 等头文件，定义 __NR_getpid 等宏。
4. 填充 sys_call_table：构建脚本将函数指针填入 sys_call_table 数组的对应位置。
5. 编译链接：最终生成的内核镜像包含完整的 sys_call_table。

3.3.2 动态注册流程（内核模块运行时）

内核模块可以通过 kprobes 或直接修改 sys_call_table 的方式注册新的系统调用（需要内核支持 CONFIG_KALLSYMS 和 CONFIG_MODULES）。典型步骤如下：

// 内核模块动态注册系统调用示例（简化）
#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/syscalls.h>
#include <linux/kallsyms.h>

// 查找 sys_call_table 地址
unsigned long *sys_call_table;
sys_call_table = (unsigned long *)kallsyms_lookup_name("sys_call_table");

// 保存原始系统调用
asmlinkage long (*original_sys_read)(unsigned int fd, char __user *buf, size_t count);

// 新的系统调用处理函数
asmlinkage long my_sys_read(unsigned int fd, char __user *buf, size_t count) {
    printk(KERN_INFO "my_sys_read intercepted: fd=%d\n", fd);
    return original_sys_read(fd, buf, count);
}

// 注册：替换 sys_call_table 中的指针
original_sys_read = (void *)sys_call_table[__NR_read];
sys_call_table[__NR_read] = (unsigned long)my_sys_read;

下表对比了静态注册与动态注册的关键差异：

下图展示了系统调用从用户态发起、经过 sys_call_table 分发到具体处理函数的完整注册与调用流程：

3.4 系统调用表的安全与优化考量

针对 sys_call_table 的优化与安全加固是现代内核演进的重要方向：

• 只读保护（RO）：通过 mark_rodata_ro() 将 sys_call_table 所在内存页设置为只读，防止 rootkit 通过修改表项劫持系统调用。
• KASLR 随机化：内核地址空间布局随机化使得 sys_call_table 的基地址在每次启动时随机化，增加攻击难度。
• 系统调用审计：通过 audit_syscall_entry 钩子在查表前进行审计，不影响表结构本身。
• 间接调用限制：在支持 retpoline 的架构上，对 sys_call_table 的间接调用进行预测屏障处理，缓解 Spectre v2 类攻击。