Linux拦截系统调用

系统调用拦截是通过将系统要执行的系统调用替换为自己编写的内核函数来实现的。在Linux系统中，系统调用一般使用int 0x80指令（x86）或者syscall指令（x64）来调用。利用Linux内核模块可以实现系统调用的拦截。下面给出一个简单的例子来说明其基本的工作过程：

#define MODULE
#define __KERNEL__
#include <linux/module.h>
#include <linux/kernel.h>
#include <asm/unistd.h>
#include <sys/syscall.h>
#include <linux/types.h>
#include <linux/dirent.h>
#include <linux/string.h>
#include <linux/fs.h>
#include <linux/malloc.h>

extern void* sys_call_table[]; /*sys_call_table is exported, so we can access it*/

int (*orig_mkdir)(const char *path); /*the original system call*/

int hacked_mkdir(const char *path) {
    return 0; /*everything is ok, but the new system call does nothing*/
}

int init_module(void) /*module setup*/
{
    orig_mkdir = sys_call_table[SYS_mkdir];
    sys_call_table[SYS_mkdir] = hacked_mkdir;
    return 0;
}

void cleanup_module(void) /*module shutdown*/
{
    sys_call_table[SYS_mkdir] = orig_mkdir; /*set mkdir syscall to the original one*/
}

在以上代码中，我们通过访问导出的`sys_call_table`变量来获取系统调用表，并将`mkdir`系统调用替换为自己编写的`hacked_mkdir`函数。在`hacked_mkdir`函数中，我们可以根据需求对系统调用进行修改。