是否可以在没有 LD_PRELOAD 的情况下覆盖 C 系统调用打开？

Question

源代码被打印出来，但没有 open: 或 open64: 被打印出来。如何解决这个问题？谢谢！

/*
gcc -o emload emload.c -ldl
./emload
*/

// emload.c

#define _GNU_SOURCE

#include <stdio.h>
#include <unistd.h>
#include <errno.h>
#include <string.h>
#include <dlfcn.h>
#include <fcntl.h>
#include <stdarg.h>

typedef int   (*orig_open_func_type)(const char *__file, int flags, ...);
typedef int   (*orig_openat_func_type)(int dirfd, const char *__file, int flags, ...);


int open(const char *__file, int __oflag, ...)
{
    orig_open_func_type orig_func;
    orig_func = (orig_open_func_type)dlsym(RTLD_NEXT, "open");
    int res = 0;

    if (__oflag & O_CREAT) {
        va_list ap;
        va_start(ap, __oflag);
        int mode = va_arg(ap, unsigned);
        res = orig_func(__file, __oflag, mode);
        va_end(ap);
    }
    else
        res = orig_func(__file, __oflag);

    printf("open: %d (%s)\n", res, __file);
    return res;
}

int open64(const char *__file, int __oflag, ...)
{
    orig_open_func_type orig_func;
    orig_func = (orig_open_func_type)dlsym(RTLD_NEXT, "open64");
    int res = 0;

    if (__oflag & O_CREAT) {
        va_list ap;
        va_start(ap, __oflag);
        int mode = va_arg(ap, unsigned);
        res = orig_func(__file, __oflag, mode);
        va_end(ap);
    }
    else
        res = orig_func(__file, __oflag);

    printf("open64: %d (%s)\n", res, __file);
    return res;
}

int openat(int dirfd, const char *__file, int __oflag, ...)
{
    orig_openat_func_type orig_func = (orig_openat_func_type)dlsym(RTLD_NEXT, "openat");
    int res = 0;

    if (__oflag & O_CREAT) {
        va_list ap;
        va_start(ap, __oflag);
        int mode = va_arg(ap, unsigned);
        res = orig_func(dirfd, __file, __oflag, mode);
        va_end(ap);
    }
    else
        res = orig_func(dirfd, __file, __oflag);

    printf("openat: %d (%s)\n", res, __file);
    return res;
}

char source[2 << 20];

int main(int argc, char **argv, char **env)
{
    FILE* f = fopen("emload.c", "r");
    fread(source, sizeof(source), 1, f);
    puts(source);
    fclose(f);
    return 0;
}

Answer 1

GLIBC 的 fopen 直接调用系统调用包装器，没有任何地址解析，所以你在这里运气不好。您的其他选择是：

从单独的进程使用 ptrace(2)，通过 PTRACE_SYSCALL 请求跟踪系统调用。这将在 any 系统调用时停止，而不仅仅是您需要的系统调用，因此可能会降低性能。
修补内存中的包装器以跳转到您的覆盖。但是，这可能会使执行原始代码变得更加困难，因为您需要分析它的前几条指令（您覆盖的指令）以重现它们的效果。或者，您可以完全重新实现包装器，避免 return 到原始版本。

是否可以在没有 LD_PRELOAD 的情况下覆盖 C 系统调用打开？

Is it possible to override C syscall open without LD_PRELOAD?

c

overriding

libc

system-calls

ld-preload