[ring0 linux]espionnez ce que fait un utilisateur sur votre pc [à ne pas faire]

[Creepy_p0ney]

[supersnail]

Well, juste quelques petites remarques :]

Tout d'abord, le registre CR0 est un registre qui contient divers flags, dont un qui désactive temporairement le gestionnaire d'exceptions (et donc les page fault et tout le bordel) ce qui est pratique vu que la table des syscalls est dans une zone théoriquement "read-only" (et donc ça t'évite de te bouffer un kernel panic).

Sinon, l'adresse de la syscall table étant hardcoded, ton code fonctionne pour ta version du kernel mais probablement pas pour quelqu'un d'autre (qui devra lui-même trouver l'adresse de sa syscall table ).

Bref, pas mal pour une exploration du kernel-land

[Creepy_p0ney]

Ok d'accord, merci pour cette information
Est ce que tu sais comment est-ce qu'on peut la rendre portable ?

[supersnail]

Ben j'ai peur que ce soit assez délicat en fait ... (le symbole est pas exporté par le kernel, et faut aller fouiner dans les fichiers *.map associés au kernel pour l'avoir)

Sinon tu peux toujours récup l'adresse des fonctions sys_write et sys_close et faire du inline patching vers tes fonctions (par contre te faudra une mini-lib de "désassemblage" pour recopier les instructions que tu vas réécrire, anyway ça se trouve facilement sur le net), ça t'évitera d'avoir à tripoter la table des syscalls (premier truc qu'un anti-rootkit vérifie btw).

Et l'avantage du inline patching c'est que du coup tu touches aussi les open & write faits dans le kernel, ce qui peut être utile pour planquer des trucs/etc

[Creepy_p0ney]

ah je vais regarder ça alors :p tiens ça peut etre rigolo à faire un rootkit et un anti-rootkit aussi

[Kiwazaru]

Yeah, gj

Content de voir du stuff ring0, ça me fait un bon exemple de ce que j'ai en projet de faire :B ! (Le tripotage du kernel nux)