劫持系统函数Demo

以下内容是劫持glib.c中标准printf函数的方法。是这篇 Docker容器内的监控命令数据修正思路的基础知识。对LD_PRELOAD熟悉可以不看。

##劫持printf函数的Demo

[root@garnett-vm-1-3nskg test_ld]# ls hijack_printf.c printf_hello.c

root@garnett-vm-1-3nskg test_ld]# cat printf_hello.c

#include <stdio.h>
	main()
	{
	        printf("hello garnett.wang!");
	}

[root@garnett-vm-1-3nskg test_ld]# cat hijack_printf.c

#define _GNU_SOURCE

#include <stdio.h>
#include <dlfcn.h>
#include <stdlib.h>
#include <stdarg.h>


int printf(const char *format, ...)
{
va_list list;
        char *parg;
        typeof(printf) *old_printf;

        // format variable arguments
        va_start(list, format);
        vasprintf(&parg, format, list);
        va_end(list);

        //DO HERE SOMETHING VERY EVIL

        // get a pointer to the function "printf"
        old_printf = dlsym(RTLD_NEXT, "printf");
        (*old_printf)("I have hijacked printf : %s", parg); // and we call the function with previous arguments

        free(parg);
}

注意：在 #include <dlfcn.h>前加 #define _GNU_SOURCE，因为RTLD_NEXTposix标准中包含的。

[root@garnett-vm-1-3nskg test_ld]# gcc printf_hello.c -o printf_hello [root@garnett-vm-1-3nskg test_ld]# ls hijack_printf.c printf_hello printf_hello.c

###劫持之前： [root@garnett-vm-1-3nskg test_ld]# ./printf_hello hello garnett.wang!

编译源代码生成劫持so文件： [root@garnett-vm-1-3nskg test_ld]# gcc -shared -fPIC hijack_printf.c -o libhijack_printf.so -ldl [root@garnett-vm-1-3nskg test_ld]# ls hijack_printf.c libhijack_printf.so printf_hello printf_hello.c

###配置LD_PRELOAD： [root@garnett-vm-1-3nskg test_ld]# export LD_PRELOAD=pwd/libhijack_printf.so [root@garnett-vm-1-3nskg test_ld]# echo $LD_PRELOAD /root/test_ld/libhijack_printf.so

###劫持之后： [root@garnett-vm-1-3nskg test_ld]# ./printf_hello I have hijacked printf : hello garnett.wang!

###查看ld dependency： [root@garnett-vm-1-3nskg test_ld]# ldd libhijack_printf.so linux-vdso.so.1 => (0x00007fff0fcfe000) libdl.so.2 => /lib64/libdl.so.2 (0x00007fb30bd30000) libc.so.6 => /lib64/libc.so.6 (0x00007fb30b99b000) /lib64/ld-linux-x86-64.so.2 (0x00007fb30c13c000)

[root@garnett-vm-1-3nskg test_ld]# ldd printf_hello linux-vdso.so.1 => (0x00007fff0c5ff000) /root/test_ld/libhijack_printf.so (0x00007fc6329a8000) libc.so.6 => /lib64/libc.so.6 (0x00007fc63260d000) libdl.so.2 => /lib64/libdl.so.2 (0x00007fc632409000) /lib64/ld-linux-x86-64.so.2 (0x00007fc632baa000)