zpoline: Linux 系统调用钩子

zpoline 是一种新型的系统调用钩子机制，具有以下优势：

• 比 ptrace 快 100 倍。
• 100% 覆盖率，即可以全面钩住系统调用。
• 不需要用户空间程序的源代码。
• 无需修改操作系统内核，也不需要内核模块。

因此，如果您认为以下情况，zpoline 是一个很好的选择：

• ptrace 对您的项目来说太慢了。
• LD_PRELOAD 技巧不够用，因为它无法全面钩住系统调用。
• 您无法预知钩子目标的源代码是否可用。
• 您不想修改操作系统内核或安装内核模块。

zpoline 属于二进制重写类别，但您不用担心程序二进制文件被覆盖。zpoline 的设置过程只会重写加载到内存中的代码二进制，就在用户空间程序开始其主函数之前。因此，它不会覆盖您的程序二进制文件。

zpoline 的优点在于它不会失败地钩住系统调用，这对现有的二进制重写技术来说是很困难的。

zpoline 的关键思想是利用调用约定并实例化一个特殊的跳板代码。 下图展示了概览：

<img src="https://yellow-cdn.veclightyear.com/835a84d5/ec9d0ded-2c52-4f32-8222-d22173eaa9e5.png" width="500px">

简而言之，zpoline 将 syscall 和 sysenter 指令替换为 callq *%rax，并在虚拟地址 0（zero）处创建一个跳板（trampoline）代码；这就是该技术被命名为 zpoline 的原因。

有关更多技术细节，请查看更多信息部分。

目标平台

当前，此实现假定在 x86-64 架构的 Linux 上运行。

依赖

zpoline 使用 binutils 中 libopcodes 的反汇编器。

sudo apt install binutils-dev

文件

此示例使用两个共享库。

1. apps/basic/libzphook_basic.so 仅实现钩子函数（我们称之为钩子函数库）。
2. libzpoline.so 由 LD_PRELOAD 加载。它配置跳板代码，进行二进制重写，并使用 dlmopen 加载 ./apps/basic/libzphook_basic.so。

构建

要构建 apps/basic/libzphook_basic.so，请输入以下命令：

make -C apps/basic

对于 libzpoline.so，请输入以下命令：

make

设置

要使用 zpoline，请将 0 设置到 /proc/sys/vm/mmap_min_addr。

sudo sh -c "echo 0 > /proc/sys/vm/mmap_min_addr"

如何使用

请为 LIBZPHOOK 环境变量指定 apps/basic/libzphook_basic.so，为 LD_PRELOAD 指定 libzpoline.so。示例命令如下：

$ LIBZPHOOK=./apps/basic/libzphook_basic.so LD_PRELOAD=./libzpoline.so [您希望运行的程序]

LIBZPHOOK 在 libzpoline.so 的 main.c 中定义。 libzpoline.so 对 LIBZPHOOK 指定的共享库文件执行 dlmopen。

目前，apps/basic/libzphook_basic.so 中的钩子函数使用 printf 打印系统调用号。以下是示例输出：

$ LIBZPHOOK=./apps/basic/libzphook_basic.so LD_PRELOAD=./libzpoline.so /bin/ls
output from __hook_init: we can do some init work here
output from hook_function: syscall number 257
output from hook_function: syscall number 262
output from hook_function: syscall number 9
output from hook_function: syscall number 3
output from hook_function: syscall number 16
output from hook_function: syscall number 16
output from hook_function: syscall number 257
output from hook_function: syscall number 262
output from hook_function: syscall number 217
output from hook_function: syscall number 217
output from hook_function: syscall number 3
output from hook_function: syscall number 262
output from hook_function: syscall number 1
apps  Documentation  libzpoline.so  LICENSE  main.c  main.o  Makefile  README.md
output from hook_function: syscall number 3

如何实现自己的系统调用钩子

目前，libzpoline.so 独立于钩子函数库。因此，您可以构建自己的钩子函数库，只需要将其指定给 LIBZPHOOK 环境变量即可激活它。

在钩子函数库中，您应该实现 __hook_init。 它将钩子函数地址的指针作为参数，通过覆写它，钩子函数库可以应用任意钩子函数。

详情请查看 apps/basic/main.c。

更多信息

以下资料提供了更多信息。

论文

关于 zpoline 的论文发表在 USENIX ATC 2023（https://www.usenix.org/conference/atc23/presentation/yasukata）。

该论文包括技术概述（第 2 节）和与其他现有钩子机制的比较（第 1 节和第 3 节）；对于忙碌的读者，论文摘要总结了 1）相对于之前机制的优势，2）本工作解决的挑战，3）解决方案概述，以及 4）实验结果的大致数字。

如果您在您的工作中提到 zpoline，我们将非常感谢您引用这篇论文。

本仓库中的补充文档

Documentation/README.md 是补充文档。

源代码中的注释

源代码包含解释系统实际如何实现的注释；这些注释是目前我们拥有的最详细的文档。

程序的起点（main.c）是 __zpoline_init，它由 LD_PRELOAD 触发，并执行以下函数：

• setup_trampoline 实例化跳板代码。
• rewrite_code 执行二进制重写。
• load_hook_lib 使用 dlmopen 加载核心库函数。