无CONFIG_KPROBES的老旧闭源内核模块调试方案咨询

结合你的场景（无KPROBES但开启KALLSYMS的2.6.32内核、闭源目标模块），可以用以下几种更简便的替代方案，避免原方案中卸载重装模块的繁琐步骤：

方案1：利用SystemTap（若内核支持） #

如果你的内核开启了CONFIG_DEBUG_INFO、CONFIG_MODULE_UNLOAD和CONFIG_RELAY（2.6.32版本SystemTap的基础依赖），可直接用SystemTap脚本实现函数入口的参数打印，无需编写额外内核模块或手动字节补丁：

• 编写stap脚本，通过kallsyms定位目标函数，结合结构体定义提取指定字段：

probe kernel.function("target_func@your_closed_module.ko") {
    // 假设目标函数第一个参数是struct foo*类型，需打印bar字段
    foo_ptr = $arg1
    printf("target_func called: foo->bar = %d\n", @cast(foo_ptr, "struct foo", "your_closed_module.ko")->bar)
}

• 直接执行stap your_script.stp即可实时捕获函数调用并打印信息。

注意：若闭源模块无调试符号，需提前确认结构体的内存布局（逆向或已知头文件定义），才能正确通过@cast解析指针。

方案2：简化运行时字节补丁（无需卸载目标模块） #

你的原核心思路可行，但可优化为运行时直接patch目标函数：

1. 编写轻量debug模块，导出debug_print_args函数：
   • 按x86 2.6.32的cdecl调用约定，从栈中提取结构体参数（第一个参数位于ebp+8）
   • 用printk打印指定字段
   • 执行原目标函数开头被覆盖的指令
   • 跳回原函数正常执行流
2. 加载debug模块后，通过kallsyms_lookup_name或find_module+module_get_kallsym获取目标函数地址
3. 用local_irq_disable或stop_machine保证原子修改，将目标函数开头的5字节指令替换为jmp debug_print_args跳转指令（提前保存原指令到debug模块，在debug_print_args末尾执行）
4. 调试完成后恢复原指令，卸载debug模块即可

方案3：利用ftrace（若内核支持） #

如果内核开启了CONFIG_FTRACE和CONFIG_FUNCTION_TRACER，可通过ftrace实现无侵入式参数打印：

• 先执行echo target_func > /sys/kernel/debug/tracing/set_graph_function设置跟踪目标
• 编写极简内核模块，注册ftrace回调函数，在回调中提取结构体参数并打印
• 这种方式无需手动修改指令，内核会自动处理函数入口的钩子逻辑

关键注意事项 #

• 所有运行时内存修改必须保证原子性，避免多CPU环境下的指令撕裂
• 若内核开启CONFIG_STRICT_MEMORY_RW，需先用set_memory_rw修改目标函数所在页的属性为可写
• 需严格遵循2.6.32 x86平台的cdecl调用约定（参数从右到左入栈）来提取结构体参数

内容的提问来源于stack exchange，提问作者retep