linux - 我怎样才能找到所有必须列入 seccomp 白名单的系统调用？

Question

我有一个现有程序，我想使用 seccomp (v2) 对其进行沙盒处理。

我如何才能找到我需要为该程序允许的 seccomp 规则？

---

我尝试为 strace -xfc a.out 打印的所有系统调用添加 seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(…), 0)，但显然这还不够，因为当我使用 seccomp 运行程序时仍然收到“SIGSYS，错误的系统调用”。

Answer 1

可能最可靠的方法是将您的 seccomp 过滤器切换为返回 SECCOMP_RET_TRAP(“发送可捕获的 SIGSYS 错误”)而不是 SECCOMP_RET_KILL (“使用不可捕获的 SIGSYS 终止进程”)，然后从信号处理程序打印 siginfo_t，然后自杀。