1. Linux 系统调用概述

系统调用（System Call）是用户态程序请求内核服务的唯一合法入口。理解系统调用的完整路径——从用户态 printf 到内核 sys_write——是后续实现系统调用表 Hook 的理论基础。本章从概念、切换机制、系统调用号与 sys_call_table 三个维度建立知识框架。

1.1 系统调用的概念

操作系统将 CPU 指令集划分为两个特权级：用户态（Ring 3） 和 内核态（Ring 0）。用户态程序不能直接访问硬件、修改页表或操作关键数据结构；必须通过系统调用陷入内核，由内核代表用户程序完成特权操作。

1.2 用户态与内核态切换

当用户程序调用 read()、write() 等库函数时，glibc 封装函数会执行以下切换流程：

1. 参数准备：将系统调用号放入 rax 寄存器，参数依次放入 rdi、rsi、rdx 等寄存器。
2. 陷入指令：执行 syscall（x86_64）或 int 0x80（x86），CPU 自动切换到 Ring 0。
3. 入口处理：内核入口函数 entry_SYSCALL_64 保存寄存器现场，根据 rax 中的系统调用号索引 sys_call_table。
4. 执行服务例程：调用对应的内核函数（如 ksys_read）。
5. 返回用户态：执行 sysret 指令，恢复寄存器，切换回 Ring 3。

1.3 系统调用号与 sys_call_table

每个系统调用在 Linux 内核中都有一个唯一的整数编号，称为系统调用号。x86_64 架构下，系统调用号定义在 /usr/include/asm/unistd_64.h 中：

// 常见系统调用号（x86_64）
#define __NR_read      0
#define __NR_write     1
#define __NR_open      2
#define __NR_close     3
#define __NR_stat      4
#define __NR_fstat     5
#define __NR_lstat     6
#define __NR_poll      7
#define __NR_lseek     8
#define __NR_mmap      9
#define __NR_mprotect  10
// ... 共约 450+ 个系统调用

sys_call_table 是内核中一个函数指针数组，数组下标就是系统调用号，数组元素是对应的内核服务函数地址。其定义位于内核源码 arch/x86/kernel/syscall_64.c：

// 内核中的 sys_call_table 定义（简化）
asmlinkage const sys_call_ptr_t sys_call_table[__NR_syscall_max+1] = {
    [0 ... __NR_syscall_max] = &sys_ni_syscall,
    [0] = sys_read,
    [1] = sys_write,
    [2] = sys_open,
    [3] = sys_close,
    // ...
};

1.4 系统调用表 Hook 的切入点

理解上述机制后，系统调用表 Hook 的核心思路就非常清晰了：

• 定位：获取 sys_call_table 在内核中的虚拟地址（通过 kallsyms_lookup_name 或直接读取 /proc/kallsyms）。
• 修改权限：将 sys_call_table 所在内存页从只读改为可写（调用 set_memory_rw）。
• 替换指针：将目标系统调用号对应的函数指针替换为自定义的 Hook 函数地址。
• 恢复权限（可选）：修改完成后将页属性恢复为只读，防止被篡改检测。

下表总结了系统调用表 Hook 涉及的关键内核符号及其用途：