python - 如何使用 Ebpf 阻止文件打开？

Question

我想使用 EBPF 并在打开的系统调用上放置一个探测器，因此当用户想要打开某个文件时，我将检查其名称，如果它是目标名称，我将阻止它打开。唯一的问题是我不知道如何真正实现这个目标。

此外，如果您能指定某个解决方案是否适用于 uprobe 或 root 探针，我将不胜感激。多谢。

Answer 1

TL;DR。目前无法使用 BPF 来执行此操作。

<小时/>

目前Linux 内核中没有选项可以使用 eBPF 对系统调用实现策略。不过，随着基于 eBPF 的 LSM(Linux 安全模块)的引入，这种情况可能会发生变化(请参阅 Kernel Runtime Security Instrumentation ， KRSI — the other BPF security module 和 KRSI and proprietary BPF programs )。

但是，您可以使用 seccomp-bpf 对系统调用实现策略，但它使用 cBPF(旧的 BPF 字节码)而不是 eBPF。然而，不可能使用 seccomp-bpf 检查指针传递的系统调用参数，对于 security reasons ;因此您将无法检查正在打开的文件的名称。