系统调用日志收集系统（一）

系统调用收集的重要性：
系统调用是用户程序与系统打交道的唯有入口，因此对系统调用的安全调用直接关系到系统的安全，比如一个用户恶意地不断调用fork()将导致系统负载增加，如果能收集到是谁调用了一些有危险的系统调用，以及调用系统调用的时间和其他信息，将有助于系统管理员进行时候追踪，从而提高系统的安全性。

该收集程序的总框架：

1、记录系统调用日志，将其写入内核缓冲区
2、建立新的系统调用，将其内核缓冲区中的日志信息返回到用户空间
3、循环利用系统调用，实时地返回系统调用的日志

具体的实现过程：（我当前的测试内核为2.6.36，其中红色为添加和修改的）
1、下载内核源代码，解压。
2、在arch/x86/include/asm/unistd_32.h和/usr/include/asm/unistd_32.h中添加系统调用号：

arch/x86/include/asm/unistd_32.h

......
347 #define __NR_fanotify_mark  339
348 #define __NR_prlimit64      340
349 #define __NR_syscall_audit 341
350 #define __NR_myaudit 342
351
352 #ifdef __KERNEL__
353
354 #define NR_syscalls 343
355
......

/usr/include/asm/unistd_32.h

......
345 #define __NR_recvmmsg       337
346
347 #define __NR_syscall_audit 341
348 #define __NR_myaudit       342
349
350 #endif /* _ASM_X86_UNISTD_32_H */

3、在arch/x86/kernel/syscall_table_32.S添加服务历程入口：

342     .long sys_prlimit64     /* 340 */
343     .long sys_syscall_audit /*341*/
344     .long sys_myaudit  /*342*/

4、修改系统调用入口处理，在arch/x86/kernel/entry_32.S添加：
第一种处理方式：int 0x80

562 syscall_call:
563     call *sys_call_table(,%eax,4)
564     movl %eax,PT_EAX(%esp)      # store the return value
565 /*
566  * new add
567  * 20 -- getpid()
568  * 116 -- sysinfo()
569  */
570     cmpl $20, 0x2C(%esp)
571     je myauditsys
572     cmpl $116, 0x2C(%esp)
573     je myauditsys
574
575 syscall_exit:
576     LOCKDEP_SYS_EXIT
577     DISABLE_INTERRUPTS(CLBR_ANY)    # make sure we don't miss an interrupt
578                     # setting need_resched or sigpending
579                     # between sampling and the iret
580     TRACE_IRQS_OFF
581     movl TI_flags(%ebp), %ecx
582     testl $_TIF_ALLWORK_MASK, %ecx  # current->work
583     jne syscall_exit_work
584
585     jmp restore_all
586 myauditsys:
587     pushl %eax
588     pushl 0x30(%esp)
589     call sys_syscall_audit
590     popl %eax
591     popl %eax
592     jmp syscall_exi

第二种处理方式：sysenter （继续在文件entry_32.S）

455 sysenter_do_call:
456     cmpl $(nr_syscalls), %eax
457     jae syscall_badsys
458     call *sys_call_table(,%eax,4)
459     movl %eax,PT_EAX(%esp)
460
461 /****************************************************/
462     cmpl $20, 0x2C(%esp)
463     je enter_audit
464     cmpl $116, 0x2C(%esp)
465     je enter_audit
466 audit_exit:
467 /****************************************************/
468
469     LOCKDEP_SYS_EXIT
470     DISABLE_INTERRUPTS(CLBR_ANY)
471     TRACE_IRQS_OFF
472     movl TI_flags(%ebp), %ecx
473     testl $_TIF_ALLWORK_MASK, %ecx
474     jne sy***it_audit
475
476 /****************************************************/
477     jmp sysenter_exit
478 enter_audit:
479     pushl %eax
480     pushl 0x30(%esp)
481     call sys_syscall_audit
482     popl %eax
483     popl %eax
484     jmp audit_exit
485 /****************************************************/

5、在arch/x86/kernel/下添加系统调用服务历程程序，这里采用的是直接添加myaudit.c文件，然后修改Makefile文件的方式：

/**
 * myaudit.c
 */

#include <linux/proc_fs.h>
#include <linux/init.h>
#include <linux/types.h>
#include <linux/sched.h>
#include <asm/current.h>

void (*my_audit)(int, int) = 0;

asmlinkage void sys_syscall_audit(int syscall_number, int return_value)
{
    if (my_audit) {
        return (*my_audit)(syscall_number, return_value);
        printk("IN KERNEL: %s(%d), syscall: %d, return: %d\n", current->comm, (int)current->pid, syscall_number, return_value);
        //printk("IN KERNEL: %s\n", current);
    } else {
        printk("my_audit is empty!\n");
    }
    return ;
}

int (*my_sysaudit)(u8, u8*, u16, u8) = 0;

asmlinkage int sys_myaudit(u8 type, u8 *us_buf, u16 us_buf_size, u8 reset)
{
    if (my_sysaudit) {
        return (*my_sysaudit)(type, us_buf, us_buf_size, reset);
        printk("IN KERNEL: my system call sys_myaudit() working...\n");
    } else {
        printk("my_sysaudit is empty!\n");
    }
    return 0;
}

修改Makefile文件：只需在其中一条后面添加myaudit.o就OK了

 ......
 34 obj-y           := process_$(BITS).o signal.o entry_$(BITS).o myaudit.o
 35 obj-y           += traps.o irq.o irq_$(BITS).o dumpstack_$(BITS).o

6、导出接口函数my_audit和my_sysaudit，在arch/x86/kernel/i386_ksyms_32.c最后添加：

EXPORT_SYMBOL(my_audit);
EXPORT_SYMBOL(my_sysaudit);

在include/linux/kernel.h最后添加申明：

......
783 #endif
784
785 extern void (*my_audit)(int, int);
786 extern int (*my_sysaudit)(unsigned char, unsigned char *, unsigned short, unsigned char);
787
788 #endif

到此，内核态需要修改文件的都修改完毕，下来就需要重新编译、安装内核了。
可参考： 开始的介绍。
需要注意的是有时在安装时没有生成initrd.img文件的话，就需要手动的生成img文件，并更新grub。
生成img文件：在源码解压后的目录下用命令：mkinitramfs -o initrd.img-2.6.36
更新grub：update-grub
有关用户态下的程序将在二中介绍。