目前暂时只支持ARM64,ARM32的逻辑也是一样,有兴趣的大佬们可以自行更改哈
具体效果
对 openat进行跟踪:
对 recvfrom进行跟踪:
到底什么是seccomp呢?
其实概念并不难,但是大家要多多实践去操作。
seccomp 是 Linux 内核提供的一种应用程序沙箱机制,主要通过限制进程的系统调用来完成部分沙箱隔离功能。seccomp-bpf 是 seccomp 的一个扩展,它可以通过配置来允许应用程序调用其他的系统调用。
如何和frida结合?
基本原理
这是一个bpf规则:
struct sock_filter filter[] = {
BPF_STMT(BPF_LD + BPF_W + BPF_ABS,
(offsetof(struct seccomp_data, nr))),
BPF_JUMP(BPF_JMP + BPF_JEQ + BPF_K, nr, 0, 1),
BPF_STMT(BPF