VIP10
本课程属于：061-Linux内核系统调用 Linux内核与驱动 · 共 10 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

Linux系统调用表hook技术：内核模块拦截实现

共计 30 章节
点击此处阅读海量试读课程：100+行业、1000+细分领域
01
Linux系统调用概述
系统调用的概念 · 用户态与内核态切换 · 系统调用号与sys_call_tab…
Linux系统调用概述
02
系统调用表（sys_call_table）结构
sys_call_table的定义 · 存储位置 · 可写性控制（CR0寄存器）
syscall
03
内核模块基础
模块的加载与卸载 · module_init/module… · LICENSE声明
内核模块基础模块的加载
04
内核模块编译环境搭建
内核头文件安装 · Makefile编写 · Kbuild系统
内核模块编译环境…内核头文件安装
05
获取sys_call_table地址的方法
/proc/kallsyms · kallsyms_lookup_na… · System.map文件
syscall
06
CR0寄存器与写保护
CR0的WP位含义 · 关闭/恢复写保护的内联汇编实现（re…
CR0寄存器
07
Hook基本原理
替换系统调用表指针 · 保存原始函数地址 · 实现拦截函数
Hook基本原理
08
第一个Hook示例
拦截sys_mkdir（创建目录） · 打印调用进程PID和目录路径
Hook第一个
09
Hook sys_open
拦截文件打开操作 · 记录文件名 · 标志位
Hooksys
10
Hook sys_write
拦截写操作 · 分析缓冲区内容（注意用户态指针安全）
Hooksys
11
Hook sys_read
拦截读操作 · 记录读取的文件描述符和字节数
Hooksys
12
Hook sys_kill
拦截进程信号发送 · 阻止特定信号（如SIGKILL）的发…
Hooksys
13
Hook sys_execve
拦截程序执行 · 记录执行的命令路径和参数
Hooksys
14
Hook sys_unlink
拦截文件删除操作 · 实现文件防删除保护
Hooksys
15
Hook sys_connect
拦截网络连接 · 记录目标IP和端口（需结合网络协议栈…
Hooksys
16
Hook sys_socket
拦截套接字创建 · 限制特定协议族的套接字
Hooksys
17
Hook sys_ioctl
拦截设备控制命令 · 过滤危险IOCTL请求
Hooksys
18
Hook sys_clone
拦截进程创建 · 记录父子进程PID
Hooksys
19
Hook sys_setuid
拦截权限提升操作 · 阻止非授权提权
Hooksys
20
Hook sys_mprotect
拦截内存保护修改 · 防止恶意修改内存权限
Hooksys
21
Hook sys_ptrace
拦截调试器附加 · 防止进程被调试
Hooksys
22
Hook sys_init_module
拦截内核模块加载 · 实现模块加载审计
Hooksys
23
Hook sys_delete_module
拦截内核模块卸载 · 防止关键模块被卸载
Hooksys
24
Hook sys_reboot
拦截系统重启/关机命令 · 增加二次确认机制
Hooksys
25
多系统调用同时Hook
批量替换多个系统调用 · 统一管理Hook函数
Hook多系统调用同时
26
Hook链与优先级
多个模块Hook同一系统调用时的处理 · 函数调用链维护
Hook优先级
27
Hook的安全性与稳定性
防止递归调用 · 内核态死锁 · 内存访问越界
Hook的安全性
28
Hook的卸载与恢复
正确恢复原始系统调用 · 避免内核崩溃
Hook的卸载
29
Hook的日志与审计
使用printk/seq_file记… · 用户态读取日志接口
Hook的日志
30
Hook技术的应用与防御
Rootkit隐藏 · 安全监控 · EDR实现
Hook技术的应用