在 Ubuntu 22.04.2 上基于内核 6.4.2 版本添加监控系统调用

type

status

slug

summary

0 前言

今天我们基于 Linux 6.4 内核，添加一个系统监控的系统调用，但是单纯添加一个系统调用会显得有些单调，所以我们把系统调用，修改内核，内核编译，还有内核模块的编写插入，用户态测试函数等等结合起来，做一个全面的讲解。

简介

我们要添加的是一个系统调用日志收集系统，系统调用是用户程序与系统打交道的入口，系统调用的安全直接关系到系统的安全，假设一个用户他恶意的不断调用fork,将会导致系统负载增加，所以如果能收集到是谁，调用了一些有危险的系统调用，以及系统调用的时间和其他信息，将有助于系统管理员进行事后的追踪，从而提高系统的安全性，我们看到的这张图就是本次要添加的系统调用日志收集系统示意图。

我们可以看到当用户进程进行系统调用的时候，当执行到do_syscall_64,我们判断是否是我们需要记录的系统调用，如果是则拦截需要记录的系统调用，通过my_audit这一函数将相关信息写入到内核中的buffer里，同时我们编写用户测试程序，在用户测试程序中我们通过本次添加的335号系统调用，执行my_sysaudit这一函数，该函数把内核buffer里的信息，拿到我们的用户buffer当中。

其中 my_audit 和 my_sysaudit 这两个函数是钩子函数，在我们的 my_audit 内核模块当中进行具体的实现。