79 lines
2.0 KiB
Markdown
79 lines
2.0 KiB
Markdown
# 练手用的 LSM-BPF 模块
|
||
|
||
## Quick Start
|
||
|
||
### 环境
|
||
|
||
- clang
|
||
- 我的在 clang15，但是理论上略微旧一点没关系。如果提示头文件缺失或者是不支持 bpf target，请升级
|
||
- kernel with BTF
|
||
- 参考：https://github.com/aquasecurity/btfhub/blob/main/docs/supported-distros.md
|
||
- golang 1.17+
|
||
- bpftool
|
||
- `bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h`
|
||
- bpf2go
|
||
- cilium 的工具
|
||
|
||
### 启动
|
||
|
||
- 一个终端
|
||
```bash
|
||
go build -o bin/demo
|
||
sudo ./bin/demo $PWD
|
||
```
|
||
- 另一个终端
|
||
```bash
|
||
watch ls
|
||
```
|
||
- 如果要看日志（不要tail）
|
||
```bash
|
||
sudo cat /sys/kernel/debug/tracing/trace_pipe
|
||
```
|
||
|
||
## 代码解释
|
||
|
||
### 内核态的 eBPF 程序： [./bpf/lsm.c](./bpf/lsm.c)
|
||
|
||
内核态程序主要是三部分：
|
||
- 生成的 BTF 定义，这个理论上可以在支持 BTF 的发行版上直接用，不需要改
|
||
- map: 内核和用户态通信的数据结构
|
||
- hook: 入口点
|
||
|
||
和普通的 C 非常像，可以当 C 来写。但是栈空间只有 512 B。我没打错，就 512 Byte。
|
||
|
||
#### BTF 定义生成
|
||
|
||
```bash
|
||
bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h
|
||
```
|
||
|
||
#### map
|
||
|
||
map 不在栈空间中，一般用来让
|
||
- 用户态配置 eBPF 程序
|
||
- eBPF 程序向用户态传递结果或者性能数据
|
||
|
||
参考
|
||
- https://docs.kernel.org/bpf/maps.html#map-types
|
||
|
||
#### hook
|
||
|
||
hook 就是一个函数，可以配置为在特定时机被 hook 点调起。
|
||
|
||
我们这个 demo 主要是希望尝试写 lsm 模块，比如说和 file_open 这个 hook 有关的信息在
|
||
- https://github.com/torvalds/linux/blob/master/security/security.c#L2793
|
||
|
||
主要是需要关注 hook 需要接受的参数。
|
||
|
||
也有很多其他的 hook 点，比如说 kprobe 和 xdp 有关的。我们这个仓库暂时不关心。
|
||
|
||
### 用户态
|
||
|
||
用户态我选择了用 cilium 的 wrapper，理论上可以用 libbpf 啊或者类似的其他工具来实现。
|
||
|
||
### 构建
|
||
|
||
整体来说项目是
|
||
- （一次性）生成 vmlinux.h
|
||
- bpf2go 工具编译 ebpf 字节码，生成 stub
|
||
- 编译 go 的二进制 |