这里会给出一个简单的例子来展示Linux内核模块的编写过程。下面是虚拟机环境信息：

要编译内核模块，还需要安装以下软件包：

以下代码实现了一个简单的内核模块。MODULE_LICENSE是模块声明，不加这句在ubuntu 20下编译会报error。模块加载时会执行init_module，模块卸载时会执行cleanup_module：

然后编辑Makefile来构建模块（这里需要注意制表符的长度，Makefile对格式有严格要求）：

按照以上的Makefile进行编译，最终会得到一个sample.ko的内核模块（还有一些编译过程中产生的文件）：

可以使用modinfo命令查看刚才创建的模块信息：

字符设备驱动是一种在不使用缓冲区高速缓存的情况下一次读取和写入一个字符数据的驱动程序，例如：键盘、声卡、打印机驱动程序。

此外还有块设备和网络驱动程序：

file_operations结构是为字符设备、块设备驱动程序与通用程序之间的通信提供的接口。可以使用结构体内的函数指针，例如：read, write, open, release, unlocked_ioctl。而网络设备不使用file_operations 结构，应当使用include/linux/netdevice.h中的net_device结构体。

下面是Linux 5.11的file_operations结构体内容：

使用下面的方式绑定设备模块中的open函数，在使用open系统调用时内核会输出“chardev_open”：

环境信息（这里我换了个ubuntu的环境，不过小版本差别不大）：

编写如下模块源码，保存为chardev.c：

关于这段代码：

编写Makefile：

make后会得到驱动文件chardev.ko和一些其他文件：

然后测试使用insmod装载模块并用dmesg查看内核输出的信息：

接下来我们创建设备文件，然后测试open系统调用是否触发内核输出“chardev_open”。步骤如下：

使用dmesg检查内核是否输出字符串。也就是说，可以通过echo命令操作chardev_open函数。

这次在file_operations绑定更多的函数：open, release, read, write。

源码解读：

Makefile如下：

这次需要使用C代码来调用模块接口。编写如下测试程序test.c：

现在make一下模块文件：

在将模块注册到内核之前，先将注册模块时自动创建的设备文件的规则保存到/etc/udev/rules.d路径下（需要root权限）：

当使用insmod注册模块时，会在/dev路径下自动创建两个设备chardev0和chardev1，这两个设备的权限是666，普通用户也可以访问:

然后编译test.c运行，并观察open、read、write、release函数对应在内核中的输出：

或者以另一种方式来测试模块文件。编写如下代码为test1.c：

编译运行后，从test1的运行结果得知，相同的模块或相同的设备，但用于存储传递的字符串的堆地址不同：

ioctl是一种用于获取硬件控制和状态信息的操作。通过read和write可以实现数据读写等功能，但无法检查硬件控制和状态信息，例如SPI通信速度、I2C等不能仅通过读写操作完成。例如CD-ROM设备驱动程序提供了一个ioctl请求代码，可以使物理设备弹出磁盘。

ioctl函数原型如下：

参数fd是从open函数获得的文件描述符；request是传递给设备的命令；除此之外还可以根据开发人员的设置创建其他参数。其他更多的描述可以查看manpage。

Linux头文件/usr/include/asm/ioctl.h定义了该用来写ioctl命令的宏。可以使用如下宏命令形式：

宏的参数值由以下形式组成：

可以像下面这样定义ioctl宏：

可以使用以下宏检查定义的命令宏的字段值：

现在编写测试用例。我们把头文件和C代码分开来，chardev.h头文件内容编写如下：

C文件代码如下，保存为chardev.c：

源码解读：

Makefile如下：

编写如下测试程序，用于调用上面的模块接口，保存为test.c：

测试程序工作原理：

接下来编译模块文件、测试程序并运行它们：

观察运行结果，可以看到ioctl的调用过程：

对于Kernel Exploit，需要了解两个函数：prepare_kernel_cred和commit_creds 。通过上面的简单了解，现在我们来使用这两个函数来编写一个用于提权的驱动模块。

源码如下（Linux 5.11）：

函数执行过程：

init_cred结构体保存着进程初始的权限信息，源码如下：

这个结构体里面的重要字段是uid、gid、suid、sgid，通过它们来设置root权限。也就是说，当执行prepare_kernel_cred函数时将NULL作为参数传递时，会进入else分支执行get_cred(&init_cred)，返回一个root权限的cred结构体。

此函数将新的凭证安装到当前进程中，源码：

它的执行过程如下：

让我们使用上面的内容来获取root权限。

编写头文件escalation.h：

编写如下代码，存储为escalation.c

源码解读：

Makefile如下：

接下来编写Exp文件，命名为Exploit.c：

上一节的chardev0设备文件我并没有删除，并且代码没有太大变化，就懒得重新创建设备文件了，所以在这里直接打开就行。

最后我们编译并注册模块：

最后编译Exploit文件，运行后可以得到root权限的shell：

我们检查内核输出也印证了过程没有问题：

01.Development of Kernel Module

https://github.com/Lazenca/Kernel-exploit-tech

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)