使用ftrace进行Linux内核hooking解决方案

通常命令行解释器(比如Bash)使用标准C库中的常用函数fork()和execve()来启动一个新进程。在系统内部，这些函数分别通过系统调用clone()和execve()来实现。我们hook execve()系统调用，以获得启动新进程的控制权。 下面的图给出了一个ftrace示例，并说明了hooking处理函数的过程。 在此图中，我们可以看到用户进程（蓝色）如何执行对内核（红色）的系统调用，其中

>>阅读原文<<