[发明专利]Hook目标内核函数的方法及装置

权利要求书

1.一种Hook目标内核函数的方法，其特征在于，所述方法包括：

根据目标内核函数对应的第一系统调用号调用框架文件时，跳转至第一指定函数，所述框架文件由所述第一指定函数、入口函数和第二指定函数封装得到，所述框架文件用于Hook所述目标内核函数，所述目标内核函数位于内核空间，所述第一指定函数和所述入口函数位于用户空间；

在所述第一指定函数的运行过程中，将系统调用表中第二系统调用号对应的地址修改为所述入口函数的地址，并根据所述第二系统调用号进行调用，跳转至所述入口函数，所述系统调用表位于所述内核空间，且所述系统调用表包括系统调用号、函数与函数地址之间的对应关系；

在所述入口函数的运行过程中，将所述系统调用表中所述第一系统调用号对应的地址修改为所述第二指定函数的起始地址，使得根据所述第一系统调用号进行调用时运行所述第二指定函数。

2.根据权利要求1所述的方法，其特征在于，所述入口函数的运行过程包括：

在所述内核空间中分配内存；

在分配的内存中存储所述第二指定函数；

将所述系统调用表中所述目标内核函数的地址修改为所述第二指定函数的起始地址，使得根据所述目标内核函数对应的第一系统调用号进行调用时运行所述第二指定函数。

3.根据权利要求2所述的方法，其特征在于，所述在分配的内存中存储所述第二指定函数，包括：

在分配的内存中，存储所述第二指定函数所需的参数、所述第二指定函数所需的内核函数地址以及所述第二指定函数。

4.根据权利要求2所述的方法，其特征在于，所述入口函数的运行过程还包括：

在将所述系统调用表中所述目标内核函数的地址修改为所述第二指定函数的起始地址之后，将所述系统调用表中所述第二系统调用号对应的地址还原为原始地址。

5.根据权利要求1所述的方法，其特征在于，所述在所述第一指定函数的运行过程中，将系统调用表中第二系统调用号对应的地址修改为入口函数的地址，包括：

在所述第一指定函数的运行过程中，获取所述系统调用表的地址，并利用所述内核空间的漏洞，根据所述系统调用表的地址，将所述系统调用表中所述第二系统调用号对应的地址修改为所述入口函数的地址。

6.根据权利要求1所述的方法，其特征在于，所述在所述入口函数的运行过程中，将所述系统调用表中目标内核函数的地址修改为第二指定函数的起始地址之后，所述方法还包括：

当任一函数根据所述第一系统调用号进行调用时，根据所述系统调用表中所述第一系统调用号对应的地址，运行所述第二指定函数。

7.一种Hook目标内核函数的装置，其特征在于，所述装置包括：

文件调用模块，用于根据目标内核函数对应的第一系统调用号调用框架文件时，跳转至第一指定函数，所述框架文件由所述第一指定函数、入口函数和第二指定函数封装得到，所述框架文件用于Hook所述目标内核函数，所述目标内核函数位于内核空间，所述第一指定函数和所述入口函数位于用户空间；

第一运行模块，用于在所述第一指定函数的运行过程中，将系统调用表中第二系统调用号对应的地址修改为所述入口函数的地址，并根据所述第二系统调用号进行调用，跳转至所述入口函数，所述系统调用表位于所述内核空间，且所述系统调用表包括系统调用号、函数与函数地址之间的对应关系；

第二运行模块，用于在所述入口函数的运行过程中，将所述系统调用表中所述第一系统调用号对应的地址修改为所述第二指定函数的起始地址，使得根据所述第一系统调用号进行调用时运行所述第二指定函数。

8.根据权利要求7所述的装置，其特征在于，所述第二运行模块还包括：

分配单元，用于在所述内核空间中分配内存；

存储单元，用于在分配的内存中存储所述第二指定函数；

修改地址单元，用于将所述系统调用表中所述目标内核函数的地址修改为所述第二指定函数的起始地址，使得根据所述目标内核函数对应的第一系统调用号进行调用时运行所述第二指定函数。