为什么某些 Linux x86_64 系统调用需要存根？

Question

如果有人试图通过sys_call_table-hooking 来挂钩某些系统调用，例如sys_execve 这将失败，因为它们被存根间接调用。对于sys_execve，这是stub_execve（比较LXR 上的汇编代码）。

但是这些存根有什么用呢？为什么只有像execve(2) 和fork(2) 这样的某些系统调用需要存根，它是如何连接到x86_64 的？是否有解决方法来挂钩存根系统调用（在可加载内核模块中）？

Answer 1

来自here，它说：

“某些特殊的系统调用需要保存完整的完整堆栈帧。”

我认为 execve 只是这些特殊系统调用之一。

来自stub_execve的代码，如果你想hook它，至少你可以试试：

1. 了解这些汇编代码的含义并自己动手，然后您可以在自己的汇编代码中调用自己的函数。
2. 从汇编代码中间，有一个call sys_execve，你可以把sys_execve的地址替换成你自己的hook函数。