Linux动态追踪技术深度解析:从内核插桩到安全监控工程实践

Inline hooking是最直接的插桩方式，通过修改函数入口处的指令为跳转（JMP）或陷阱（INT3），将执行流重定向到监控代码，执行完毕后再返回原路径。

• 内存写保护：代码段通常只读，需修改页属性（清除WP位）或通过set_memory_rw等内核函数临时赋予写权限。注意此操作不会触发COW，对共享库（如libc）修改需格外谨慎。

• 跳板指令生成：x86下JMP rel32占5字节（0xE9 + 4字节偏移），仅能跳转±2GB范围。若目标超出范围，需使用间接跳转（如mov rax, target; jmp rax，总长12-14字节）或增加中间跳板。通用hook框架必须集成反汇编引擎，分析被覆盖的指令（可能跨越多个指令边界），并在跳板中完整模拟它们。不同指令集（ARM、RISC-V）需不同处理。

• 指令撕裂：多CPU环境下，若一条线程执行到被覆盖指令的中间字节，系统将崩溃。根本解决是只改写单条原子指令（如第一字节改为0xCC即INT3），由内核异常处理程序接管。这正是uprobe/kprobe早期实现采用的方案——通过INT3触发trap，在异常处理中保存现场并调用回调，再单步执行原指令后恢复。原子性由CPU保证。

同一函数被多个模块hook会导致跳板链累积，且卸载时无法安全恢复原指令（可能存在其他hook仍依赖当前跳板）。此外，inline hook修改了指令序列，会触发完整性校验（如IMA、LKRG），并与Intel CET（Shadow Stack）等硬件安全机制冲突。

reptile劫持vfs_read函数：

静态插桩在源码中显式添加监控点，通过条件编译或弱符号实现运行时开关，未启用时性能损耗几乎为零。

内核预置近2000个静态点（v6.1），覆盖syscall、调度、内存管理、网络、KVM等子系统。每个tracepoint通过DECLARE_TRACE宏定义，内核使用jump label和static call技术实现动态开关：未启用时，调用点为nop指令；启用时动态修改为jmp到trace_xxx函数。性能开销极低。

• 统计：syscall类690个，sched/task 29个，net 16个，kvm 91个，总计1944。

• 版本差异：ARM64上execve/execveat在5.20前缺少sys_exit回调；sched:process_exec自3.4才支持。

• 自定义tracepoint：模块可通过TRACE_EVENT定义自己的tracepoint，直接复用ftrace/perf工具链。

Linux Security Module是内核安全基准框架，最早随SELinux引入，提供操作阻止能力。每个LSM组件填充security_operations结构体（含247个回调，6.4内核），覆盖文件访问、进程创建、网络操作等。

• 版本演变：

  <4.2.0：单模块注册，security_ops单指针。

  =4.2.0：双向链表管理多模块（security_hook_heads）。

  =4.17.0：改为单链表（hlist_head）。

  4.12.0后链表头不再导出且只读，需通过指令分析定位。例如security_inode_create中通过mov r14, QWORD PTR [rip+0x1189610]获取inode_create的链表头地址。

• eBPF扩展：5.7+内核支持eBPF程序直接挂载LSM hook，无需编写内核模块。

独立的安全审计系统，自2.6内核存在。监控点为静态显式调用，日志内容固定（仅函数调用参数），无扩展性。应用层auditd通过netlink消费日志，所有事件只能由auditd处理，性能常被诟病。

网络包过滤框架，在网络栈的5个钩子点（NF_IP_PRE_ROUTING、NF_IP_LOCAL_IN、NF_IP_FORWARD、NF_IP_LOCAL_OUT、NF_IP_POST_ROUTING）注册回调。通过iptables/nftables下发规则。可监控所有网络数据包，是防火墙、VPN、NAT的基础。

动态插桩无需重新编译内核，通过修改指令或注册回调实现运行时探测。

Ftrace利用gcc -pg编译选项，在函数入口插入call __fentry__（x86_64）或call _mcount。开启CONFIG_DYNAMIC_FTRACE后，内核启动时将这些调用全部替换为nop指令（如nop DWORD PTR [rax+rax*1+0x0]）。注册监控点时，将nop动态改回call，目标指向ftrace的跳板函数。

• 支持任意函数：只要内核编译时开启-pg，均可跟踪。

• 多次hook：多个模块可同时监控同一函数，ftrace内部通过ftrace_ops链表管理。

• 指令撕裂防护：修改nop→call时需停机或使用stop_machine，保证原子性。

基于ftrace（早期基于INT3），允许在内核任意指令位置插入探测点。三种类型：

• Kprobe：在指定地址插入断点，触发pre_handler，可访问修改寄存器、内存。

• Kretprobe：函数返回时触发，需在kprobe触发时保存返回地址并替换为跳板，性能较差，不适合高频函数。注：eBPF版kretprobe回调中pt_regs为乱值，需通过map传递原始参数。

• Jprobe：已从主线移除（不可控）。

Kprobes可视为Ftrace的封装，增加了参数解析和栈回溯功能。同一函数可注册多个kprobe，由ftrace统一管理。

用户态动态插桩，原理与kprobe类似：将目标指令（通常是函数入口）改为INT3，触发trap后由内核uprobe处理程序接管，保存用户态寄存器，调用注册的回调，再单步执行原指令后恢复。自3.5并入内核，3.14后可用性提升，tracefs和perf均支持uprobes。

内核向模块提供的事件通知机制，如CPU热插拔、USB设备、内存不足等。模块可注册回调，在特定事件发生时被调用。功能有限，仅适用于特定子系统事件。

这些技术绕过内核提供的标准接口，直接修改内核数据结构或硬件状态，常见于恶意软件或老版本内核。

直接修改sys_call_table中的函数指针，指向恶意函数。Linux内核2.6后逐渐增加保护（如只读、__read_mostly），但仍可通过cr0寄存器去掉写保护或寻找未导出的表地址。现代内核已普遍禁用此方式（CONFIG_STRICT_SYSCALLS）。

内核以结构体对象管理资源（进程、文件等），每个对象有操作表（如file_operations）。通过修改函数指针劫持对特定对象或所有对象的操作。Rootkit常用此法隐藏进程（修改task_struct链表）。

修改IDT（中断描述符表）中的入口地址，将系统调用、缺页异常等重定向。需要写idt寄存器指向的新表，技术复杂且极易导致系统崩溃。