DEV Community
·
LKM爱好者：学习LKM基础知识
💡
原文英文，约900词，阅读约需4分钟。
📝
内容提要
文章介绍了可加载内核模块（LKM）的基本概念和应用，包括从简单模块到LKM rootkit的创建。LKM用于扩展Linux内核功能，如添加驱动程序。文章详细说明了LKM的编写、加载过程及其在不同内核版本中的变化，特别是5.7版本的安全改进。此外，还介绍了用于进程监控的LKM模块和rootkit的基本实现。
🎯
关键要点
- 可加载内核模块（LKM）用于扩展Linux内核功能，如添加驱动程序。
- LKM的基本结构包括初始化和退出函数。
- 示例Makefile用于编译LKM模块。
- 使用lsmod命令查看已加载的模块。
- LKM的'Hello World'示例展示了基本模块的创建。
- 不同内核版本中LKM的关键变化，包括安全性和性能的提升。
- Linux 5.7版本中系统调用表的保护措施提高了安全性。
- LKM可用于进程监控，通过定时检查进程状态。
- Rootkit是恶意模块，通过劫持系统调用来隐藏恶意软件。
❓
延伸问答
什么是可加载内核模块（LKM）？
可加载内核模块（LKM）是用于扩展Linux内核功能的模块，可以在不重新编译整个内核的情况下添加驱动程序等功能。
如何编写一个简单的LKM模块？
一个简单的LKM模块需要定义初始化和退出函数，例如使用module_init和module_exit宏来注册这些函数。
如何查看已加载的LKM模块？
可以使用lsmod命令查看已加载的模块，该命令会检查/proc/modules中的信息。
Linux 5.7版本对LKM有哪些安全改进？
在Linux 5.7版本中，系统调用表被写保护，减少了对其的直接访问，提高了安全性。
LKM可以用于哪些应用场景？
LKM可以用于扩展内核功能，如添加设备驱动、文件系统支持以及进程监控等。
什么是LKM rootkit，它是如何工作的？
LKM rootkit是一种恶意模块，通过劫持系统调用来隐藏恶意软件，通常会修改系统调用表以实现其功能。
➡️
