c - seccomp 如何处理 ptrace 事件

Question

我正在使用 seccomp 过滤器来限制进程进行的系统调用。最多使用系统调用的白名单来允许和禁止系统调用是可以理解的。我坚持由 seccomp 规则生成的 ptrace 事件的概念。例如，我可以禁止 open 但我想在 open 系统调用上生成 ptrace 事件，以便我可以确定进程是否可以打开该文件或不是。我的具体问题是如何捕获 seccomp 生成的 ptrace 事件？任何帮助或引用将是一个巨大的祝福。

我以微不足道的身份用谷歌搜索，但没有找到任何帮助和运行示例。

Answer 1

你需要有一个单独的程序来追踪劣质的。该示踪剂应调用

    ptrace(PTRACE_SETOPTIONS, tracee_pid, 0, PTRACE_O_TRACESECCOMP);

请求通知和调用

    waitpid(tracee_pid, &status, __WALL);

得到通知。当waitpid返回时，分析status，通过

获取通知

    unsigned long data;
    ptrace(PTRACE_GETEVENTMSG, tracee_pid, 0, &data);