5 分钟上手 syscall_intercept：从源码编译到第一个 Hook 的快速入门教程

5 分钟上手 syscall_intercept：从源码编译到第一个 Hook 的快速入门教程

【免费下载链接】syscall_interceptThe system call intercepting library项目地址: https://gitcode.com/gh_mirrors/sy/syscall_intercept

syscall_intercept 是一个运行在用户空间的系统调用拦截库（The system call intercepting library），它无需修改内核、无需加载内核模块，就能在进程内部"截胡"几乎所有的 Linux 系统调用。本教程将带你从零开始：下载源码、编译安装、理解 Hook API，并在 5 分钟内写出并运行你的第一个系统调用拦截程序。整个过程只需几行 C 代码加一条LD_PRELOAD环境变量，非常适合对系统编程、沙箱与安全审计感兴趣的初学者快速入门。

syscall_intercept 是什么？为什么需要系统调用拦截库

在 Linux 上，应用程序的文件读写、进程创建、网络通信等操作最终都会转化为系统调用（syscall）交给内核执行。syscall_intercept 的思路很巧妙：它通过hotpatch（热补丁）的方式，在进程内存中改写 glibc 的机器码，把其中的syscall指令替换为跳转指令，从而把系统调用"引流"到你自定义的回调函数里。

这意味着你可以做到：

• 🛡️安全防护：禁止程序执行fork、execve等危险操作
• 📝审计日志：记录程序发起的每一次系统调用及其参数
• 🎭行为模拟：在用户空间"伪造"系统调用结果，骗过应用程序

它的核心源码和实现思路都集中在src/目录（如 patcher.c、intercept.c），底层依赖反汇编引擎libcapstone来定位并改写机器码。

快速上手前的准备：环境与依赖清单

编译 syscall_intercept 需要满足以下条件，缺一不可：

从源码编译 syscall_intercept 的一键步骤

拿到源码最直接的方式就是克隆仓库：

git clone https://gitcode.com/gh_mirrors/sy/syscall_intercept

然后进入目录，用 cmake 配置并编译（建议指定 Release 模式以获得最佳性能）：

cd syscall_intercept cmake . -DCMAKE_INSTALL_PREFIX=/usr -DCMAKE_BUILD_TYPE=Release make

编译完成后，安装库和头文件：

sudo make install

安装后你会得到共享库libsyscall_intercept.so，以及位于include/目录下的核心头文件 libsyscall_intercept_hook_point.h——这是整个库唯一的对外接口，也是我们接下来要写的 Hook 程序需要包含的头文件。

💡 构建选项提示：如果只想快速体验，可以用-DBUILD_TESTS=OFF -DBUILD_EXAMPLES=OFF跳过测试和示例的编译，加快构建速度。

理解核心 API：一个函数指针搞定系统调用拦截

syscall_intercept 的 API 简单到令人惊讶：你只需要向全局函数指针intercept_hook_point赋值一个回调函数，拦截就自动生效了。回调的签名如下：

int (*intercept_hook_point)(long syscall_number, long arg0, long arg1, long arg2, long arg3, long arg4, long arg5, long *result);

回调函数的返回值是关键约定：

• 返回非 0：表示"这个系统调用我不拦截"，库会把调用原样转发给内核执行
• 返回 0：表示"这个系统调用我接管了"，此时通过*result指针设置系统调用的返回值

另外，如果你的 Hook 代码内部也需要发起系统调用，切记使用库提供的syscall_no_intercept()函数，而不是 glibc 的syscall()——否则会陷入无限递归的窘境。

5 分钟写出你的第一个 Hook：拦截 write 系统调用

理论讲完，现在动手。我们写一个最简单也最有趣的例子：拦截所有write系统调用，把输出内容中的小写字母i全部改成大写I（灵感来自官方示例 examples/icap.c）。

新建icap.c，内容如下：

#include <stddef.h> #include <string.h> #include <syscall.h> #include <libsyscall_intercept_hook_point.h> static int hook(long syscall_number, long arg0, long arg1, long arg2, long arg3, long arg4, long arg5, long *result) { if (syscall_number == SYS_write) { char buf[0x1000]; size_t size = (size_t)arg2; if (size > sizeof(buf)) size = sizeof(buf); memcpy(buf, (char *)arg1, size); for (size_t i = 0; i < size; ++i) if (buf[i] == 'i') buf[i] = 'I'; *result = syscall_no_intercept(SYS_write, arg0, buf, size); return 0; /* 接管这个系统调用 */ } return 1; /* 其他系统调用放行 */ } __attribute__((constructor)) static void start(void) { intercept_hook_point = &hook; }

编译成共享库：

cc icap.c -lsyscall_intercept -fpic -shared -o icap.so

最后，用LD_PRELOAD把 Hook 注入到任意程序里试试效果：

LD_LIBRARY_PATH=. LD_PRELOAD=./icap.so ls

运行后你会发现，ls输出的所有小写i都变成了大写I，而程序本身毫不知情——你的第一个系统调用拦截器就这样跑起来了！🎉

实用技巧：用环境变量控制拦截行为

库内置了三个环境变量，能帮你更好地控制拦截过程，在调试时尤其有用：

例如，只想拦截ls命令，同时用 gdb 调试且不希望 gdb 自身被拦截，可以这样组合使用：

INTERCEPT_HOOK_CMDLINE_FILTER=ls \ LD_PRELOAD=libsyscall_intercept.so \ gdb ls

现成例子：从官方示例快速进阶

如果觉得手写回调不够过瘾，仓库的examples/目录已经准备好了三个完整的可直接编译的示例：

• examples/icap.c：上面的字母改写例子，最简入门
• examples/fork_ban.c：限制进程 fork 次数，超过上限后返回EAGAIN，展示拦截系统调用后的"拒绝"能力
• examples/syscall_logger.c：配合 examples/syscall_desc.c 实现的完整系统调用日志记录器，参数格式化非常详细，是审计工具的理想模板

此外，test/目录下的测试代码（如 hook_test.c、fork_logging.c）也展示了多进程、多线程场景下的拦截用法，进阶学习时值得一读。

注意事项与已知限制

上手很快，但以下几点限制务必提前知晓：

• ⚠️ 仅拦截glibc 发起的系统调用，绕过 libc 直接用汇编syscall指令的程序无法被拦截
• ⚠️clone和rt_sigreturn两个系统调用存在已知问题，拦截时需格外小心
• ⚠️ 同一进程中不要有其他工具也去热补丁 glibc，否则可能互相冲突
• ⚠️ 回调函数在加载库时通过构造函数注册，务必保证库在目标程序启动前完成注入

小结：你的下一步

从源码编译到第一个 Hook 生效，整个过程确实只需要 5 分钟。syscall_intercept 用极简的 API 换来了强大的能力：一个函数指针 + 一条LD_PRELOAD，你就能在用户空间掌控几乎全部系统调用。下一步，不妨动手改一改fork_ban.c或syscall_logger.c，实现一个属于你自己的沙箱或审计工具吧！

【免费下载链接】syscall_interceptThe system call intercepting library项目地址: https://gitcode.com/gh_mirrors/sy/syscall_intercept