如何hook一个系统调用
背景 是这样的：某高人写的library里判断了新sock出来的socket的文件句柄要>0，且不谈这个assertion是否，我们的系统在运行到某个时间后，会不满足这个断言，说明有人把stdin给关了。
仔细想了一下，没有什么地方是需要把stdin关闭掉的，只能说明程序里有bug，比如某个fd被错误的赋予了0这个初始值，在没有初始化的情况下被关闭了。这是个bug。首先想到的办法是在所有调用close的地方都加上日志，这个工作量巨大，而且很容易出现遗露。其实在Linux里可以通过插入so的方式，hook某些动态连接库里的函数。只要用户没有选择静态编译，就会调用我们替换的版本。经过一翻Google，主要参考了 这篇 文章。最后成品的代码如下：
my_close.c
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
#define _GNU_SOURCE #include <dlfcn.h> #include <assert.h> typedef int (*orig_close_f_type)(int fd); int close(int fd) { /* Some evil injected code goes here. */ assert(fd > 0); orig_close_f_type orig_close; orig_close = (orig_close_f_type)dlsym(RTLD_NEXT, "close"); return orig_close(fd); } |
使用这个方法编译：
|
1 2 |
gcc -g -shared -fPIC my_close.c -o my_close.so -ldl |
然后在运行程序前定义LD_PRELOAD，方法为
|
1 2 3 |
export LD_PRELOAD=$PWD/my_close.so ./run_your_app |
或者
|
1 2 |
LD_PRELOAD=$PWD/my_close.so ./run_your_app |
如上代码在调用close时，如果fd等于0，会coredump。
应该是export LD_PRELOAD=$PWD/my_close.so, 文件后缀错了
嗯，笔误了。已修正。
看样子还是得解决下tmux与iterm2的冲突，选中的行不能自动拷贝，这些命令是写文章的时候手工打的。从iterm2里直接复制的话就没有问题了。
iTerm里，只要按住Option键，再用鼠标选择文本就可以了。