Перехват sys_execve()

Не надо ничего перехватывать, используй Linux Security Modules. Вот https://bitbucket.org/vleschuk/exec_monitor тут я решил твою задачу. Конкретно смотри на exec_hook() в exec_monitor.c.

Премного благодарен. Однако у меня тут вопрос. Там используются заголовочные файлы из каталога asm, однако у меня он отсутствует (есть только asm-generic, но когда я что-то из него подключаю - компилятор ругается ошибками). Это нормально?

Подменять системные вызовы - гейство.

Зачем там сразу злобно? Я с ядром знаком около недели. Ничего умнее не придумал :(

У самсунгов есть особый модуль ядра, который запрещает неподписанные elf бинарники запускать http://opensource.samsung.com/reception/receptionSub.do?method=sub&sub=F&... Там есть код проверки ЭЦП, его можно заменить на код, проверяющий «а не пытаемся ли мы запрещенный бинарник загрузить».

Там код есть, который таблицу системных вызовов находит, и по всей видимости патчит там что-то

Ничего не понял, давай код и выхлоп компилятора.

ЗЫ Тестовое задание делаешь? =)

Зачем там сразу злобно?

Первый раз на ЛОРе, да? Привыкай :)

Я сейчас только одним глазком посмотрел и ничего не переписывал у себя. Просто до этого, когда пытался подключить (если не ошибаюсь) asm/unistd.h (который подключал как asm-generic/unistd.h) - оно ругалось, что не может найти остальные инклуды, в которых была опять таки папка asm, которой у меня нету. Вот оно и ругалось) В общем, от кода толку не будет (потому что сейчас там этого инклуда нету) и выхлопа, соответсвенно, нету.

Да, делаю что-то типа тестового задания (прохожу курсы и заодно проект делаю). Само задание - написать файрволл, который блокирует процессы из черного списка. Что, настолько типичное задание?)

До этого только читал, когда гуглил что-то)

Это рассматривали? https://sourceware.org/systemtap/

Если я правильно понял - они производят приложения для всяких гразных делишек с ядром (или я ошибся? А то мой английский оставляет желать лучшего), а мне надо написать свой велосипед)

Что, настолько типичное задание?)

Senior Developer,Team Lead, С/C++ Unix,требуется (комментарий)

В этом же топике вроде было кстати писькомерство по решению этого задания, так что можешь ещё там поискать примеры кода (но своё я там, ЕМНИП, не выкладывал).

Спасибо, посмотрю на досуге) Весьма приятно удивлен, как быстро здесь отозвались)

Прав доступа к файлам достаточно.

Секрет в подписке на тэги.
А вообще, вот тебе бесплатно классический совет: изучение IT нужно изучать с английского.

В общем, в том топике кроме срача ничего не нашел. Попробовал тот способ, который у тебя, однако у меня не находит структуру security_operations. Ну и как я узнал, ядро можно собрать и без LSМ, поэтому такой вариант тоже не канает, к сожалению :(. Есть еще какие-то способы?

Ядро можно собрать без поддержки запуска любых исполняемых файлов, разделения прав пользователей, всех фс, любых видов сети, etc. Приятных снов.

Конечно, не находит, она не экспортируется ядром. Ты посмотри на файлы рядом: probe.c, например. Там probe.c и probe.h утащены из проекта AKARI, в них как раз находится функционал по вытаскиванию struct security_operations наружу.

Кароче попробуй собрать мой модуль у себя и проверить, как оно работает.

Само задание - написать файрволл, который блокирует процессы из черного списка.

ох лол. Для твоего тестового задания хватит что-то типа такого

$ touch file
$ chmod -x file
$ sudo chattr +i file
[sudo] password for user:

$ chmod +x file
chmod: changing permissions of ‘file’: Operation not permitted

А почему бы не использовать SELinux ?

Обижаешь :( Я, ведь, само собой, уже погуглил, что такое LSM и просмотрел частично, как работает твой модуль. А точнее, посмотрел, что да как оно подменяет, нашел ту функцию, которая ищет структуру, скопировал ее себе, чисто чтобы протестировать, найдет ли у меня что-то, однако у меня она вернула NULL.

Да, я, само собой, думал про простое запрещение прав доступа. Однако, если я не ошибаюсь, от имени рута все равно можно запускать что угодно.

Ну и если даже не от имени рута, то вызовом fork()+exec(), я полагаю, все равно можно будет запустить процесс.

В любом случае, надо запилить это дело в виде модуля ядра.