如何在 Linux 上重新实现（或包装）系统调用函数？

Question

假设我想完全接管 open() 系统调用，也许要包装实际的系统调用并执行一些日志记录。 一种方法这是使用 LD_PRELOAD 加载一个（用户制作的）共享对象库，该库接管 open() 入口点。

然后，用户编写的 open() 例程通过dlsym()调用并获取指向 glibc 函数 open() 的指针。

然而，上面提出的解决方案是动态解决方案。假设我想静态链接我自己的 open() 包装器。我该怎么做呢？我猜想机制是一样的，但我也猜想用户定义的 open() 和 libc open() 之间会存在符号冲突。

请分享任何其他技术来实现相同的目标。

Answer 1

您可以使用ld提供的换行功能。来自man ld：

--wrap symbol 对符号使用包装函数。任何未定义的引用
symbol 将解析为 __wrap_symbol。

对 __real_symbol 的任何未定义引用都将解析为 symbol。

因此，您只需为包装函数使用前缀 __wrap_ ，并在想要调用实际函数时使用 __real_ 。一个简单的示例是：

malloc_wrapper.c：

#include <stdio.h>
void *__real_malloc (size_t);

/* This function wraps the real malloc */
void * __wrap_malloc (size_t size)
{
    void *lptr = __real_malloc(size);
    printf("Malloc: %lu bytes @%p\n", size, lptr);
    return lptr;
}

测试应用程序 testapp.c：

#include <stdio.h>
#include <stdlib.h>
int main()
{
    free(malloc(1024)); // malloc will resolve to __wrap_malloc
    return 0;
}

然后编译应用程序：

gcc -c malloc_wrapper.c
gcc -c testapp.c
gcc -Wl,-wrap,malloc testapp.o malloc_wrapper.o -o testapp

生成的应用程序的输出将是：

$ ./testapp
Malloc: 1024 bytes @0x20d8010

Answer 2

链接器按照您在命令行上列出符号的顺序解析符号，因此如果您在标准库之前列出您的库，则您将具有优先权。对于 gcc，您需要指定

gcc <BLAH> -nodefaultlibs <BLAH BLAH> -lYOUR_LIB <OTHER_LIBS>

这样您的库将首先被搜索和找到。

Answer 3

对于 linux 和 GNU libc，该库内置了对拦截和重新实现库中任何函数的支持。

如果您定义自己的任何 libc 函数版本，并将其链接在 libc 之前（因此将其作为可执行文件的一部分，或者在链接命令上的 -lc 之前链接的库中，甚至使用 LD_PRELOAD 加载，如果libc 是动态链接的），它将被调用而不是 libc 版本（甚至调用 libc 本身的其他函数）。然后，您可以使用 __libc_ 前缀调用该函数，以获取库中的实际版本（尽管您需要自己声明该符号。）例如：

       #include <sys/types.h>
       #include <sys/stat.h>
       #include <fcntl.h>

       extern int __libc_open(const char *pathname, int flags, mode_t mode);

       int open(const char *pathname, int flags, mode_t mode) {
           return __libc_open(pathname, flags, mode);
       }