如何检测内核地址是否属于Linux内核可执行文件（含CPU入口区域等特殊段）

我完全理解你从Windows内核环境转到Linux时的困惑——毕竟两者的内核内存布局和地址检测逻辑确实有不少差异。针对你遇到的问题，我们一步步拆解来解决：

为什么core_kernel_text识别不出SYSCALL入口地址？ #

core_kernel_text这个API的作用很明确：它只检查目标地址是否属于传统的内核核心文本段，也就是vmlinuz映射到内存的那部分核心可执行代码。但在开启了KPTI（内核页表隔离）和CONFIG_RETPOLINE=y的内核中（你的Ubuntu 16.04 4.15内核正好满足这个配置），系统调用的入口代码被移到了一个特殊的内存区域——cpu_entry_area，这块区域不属于传统的核心内核文本，也不属于任何内核模块，所以自然不会被core_kernel_text识别。

什么是cpu_entry_area？ #

简单来说，这是Linux内核为了应对Meltdown这类硬件漏洞、配合KPTI实现用户态到内核态的安全快速切换而引入的特殊内存区域。它里面存放的都是需要直接和CPU硬件交互的跳板代码，比如系统调用入口、中断处理的trampoline代码等。这块内存是动态分配给每个CPU的，不在常规的内核核心文本或模块映射范围内。

如何检测地址是否属于cpu_entry_area？ #

在你的目标内核版本（4.15.0-112-generic）中，有两种可靠的方法：

方法1：使用内核导出的is_cpu_entry_area函数 #

这个API和core_kernel_text的用法几乎一致，专门用来判断地址是否属于CPU入口区域：

typedef int(*is_cpu_entry_area_t)(unsigned long addr);
is_cpu_entry_area_t is_cpu_entry_area_;

// 通过kallsyms查找函数地址
is_cpu_entry_area_ = (is_cpu_entry_area_t)kallsyms_lookup_name("is_cpu_entry_area");

// 检测你的系统调用入口地址
int is_in_cea = is_cpu_entry_area_(system_call_entry);

方法2：手动判断地址区间 #

如果is_cpu_entry_area没有被内核导出（这种情况在4.15版本中很少见，但可以做备选），你可以手动获取当前CPU的cpu_entry_area区间，然后判断目标地址是否在其中：

#include <linux/cpu_entry_area.h>

struct cpu_entry_area *cea = get_cpu_entry_area(smp_processor_id());
unsigned long cea_start = (unsigned long)cea;
unsigned long cea_end = cea_start + sizeof(*cea);

int is_in_cea = (system_call_entry >= cea_start) && (system_call_entry < cea_end);

完整的内核官方代码地址检测逻辑 #

为了覆盖所有属于Linux官方内核代码的地址（包括核心文本和CPU入口区域），你可以把两个检测逻辑结合起来：

int is_kernel_official_code(unsigned long addr) {
    // 先检查是否属于核心内核文本
    if (core_kernel_text_(addr)) {
        return 1;
    }
    // 再检查是否属于CPU入口区域
    if (is_cpu_entry_area_(addr)) {
        return 1;
    }
    // 若有需要，还可以扩展检测其他特殊内核区域（比如异常处理跳板等）
    return 0;
}

这个逻辑完全可以满足你检测恶意模块是否篡改内核官方代码的需求——它能准确区分内核官方地址和第三方模块/恶意代码的地址。

备注：内容来源于stack exchange，提问作者OneAndOnly