seccomp介绍

最新推荐文章于 2024-09-19 23:07:41 发布
最新推荐文章于 2024-09-19 23:07:41 发布
阅读量2w 收藏 14
点赞数 4
分类专栏： 学习笔记 文章标签： seccomp linux kernel secure
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mashimiao/article/details/73607485
版权

什么是seccomp

seccomp（全称securecomputing mode）是linuxkernel从2.6.23版本开始所支持的一种安全机制。

在Linux系统里，大量的系统调用（systemcall）直接暴露给用户态程序。但是，并不是所有的系统调用都被需要，而且不安全的代码滥用系统调用会对系统造成安全威胁。通过seccomp，我们限制程序使用某些系统调用，这样可以减少系统的暴露面，同时是程序进入一种“安全”的状态。

详细介绍可参考seccomp内核文档。


如何使用seccomp

seccomp可以通过系统调用ptrctl(2)或者通过系统调用seccomp(2)开启，前提是内核配置中开启了CONFIG_SECCOMP和CONFIG_SECCOMP_FILTER。

seccomp支持两种模式：SECCOMP_MODE_STRICT和SECCOMP_MODE_FILTER。在SECCOMP_MODE_STRICT模式下，进程不能使用read(2)，write(2)，_exit(2)和sigreturn(2)以外的其他系统调用。在SECCOMP_MODE_FILTER模式下，可以利用BerkeleyPacket Filter配置哪些系统调用及它们的参数可以被进程使用。


如何查看是否使用了seccomp

通常有两种方法：

  1. 利用prctl(2)的PR_GET_SECCOMP的参数获取当前进程的seccomp状态。返回值0表示没有使用seccomp;返回值2表示使用了seccomp并处于SECCOMP_MODE_FILTER模式；其他情况进程会被SIGKILL信号杀死。

  2. 从Linux3.8开始，可以利用/proc/[pid]/status中的Seccomp字段查看。如果没有seccomp字段，说明内核不支持seccomp。

淼哥
关注
专栏目录
LINUX SECCOMP模块介绍
SHELLCODE_8BIT的博客
11-22 3006
Seccomp是 "secure computing" 的 缩写。Linux内核2.6.12版本（2005年3月8日）引入。是linux一个安全模块，用于限制程序系统调用；我们来看下例子。
SECCOMP
SHELLCODE_8BIT的博客
11-15 427
浅谈Linux SECCOMP安全机制在容器中的使用 - 腾讯云开发者社区-腾讯云 (tencent.com)
Seccomp
2301_80798825的博客
09-19 230
seccomp是内核中的一种安全机制，正常情况下（没有打开seccomp），程序是可以使用所有的syscall，这是不安全的。ptrctl 和 seccomp 的系统调用分别为157，317；然后要想进行orw，我们得知道open，read，write函数的地址，可以通过libc加上printf函数泄露的函数地址就可以得到libc_base。1.在SECCOMP_MODE_STRICT的模式下，进程只能使用read，write，_exit 和 sigreturn系统调用。seccomp可以通过系统调用。
linux3.5 Seccomp
lhj893614438的博客
01-20 236
Seccomp （即“"secure computing”的别名）是2.6.12版本重新加入的简单沙盒机制，用来确保系统调用处于受限状态（仅允许对已打开的文件进行exit, sigreturn, read 和 write操作）。Seccomp现在又增加了新功能：不再是有限并且确定的系统调用，Seccomp现在已经成了一种过滤机制，用来管理一个系统调用是否被禁止（和Berkeley Packet F...
【云安全系列】Seccomp—云安全syscall防护利器
Rethinking the Kernel
10-28 5353
本文从 Seccomp 机制出发，在 linux 内核层面介绍了 Seccomp 可以实现的安全能力即对进程的系统调用限制能力。Kubernetes 为我们提供了可以对容器进行系统调用层面保护的接口即 Seccomp 能力。在云原生场景，通过使用 ebpf 的手段获取业务系统调用白名单，通过linux 内核支持的 Seccomp 机制对业务容器进行系统调用维度的防护，进而保证业务容器 syscall 层面的安全。
linux安全之seccomp
快乐时光
04-15 4335
介绍 seccomp按照字面意思可以理解为security computing，最早是作用于网格计算，主要通过限制进程的系统调用来完成部分沙箱隔离功能。 通过man prctl可以发现，seccomp的引入是在内核2.6.23，早期的seccomp主要限制read、write、exit以及sigreturn四个系统调用。内核3.5版本引入filter模式，将seccomp分成strict和filter两种。其中strict依旧限制四种系统调用，而filter模式则借助了Berkeley ...
上手 seccomp
龙瑜的博客
01-21 2308
NAME seccomp - operate on Secure Computing state of the process SYNOPSIS #include <linux/seccomp.h> #include <linux/filter.h> #include <linux/audit.h> #include <linux/signal.h> #include <sys/ptrace.h> int seccomp(unsigned i
2024年Sandbox的安全机制 —— 使用 seccomp
2401_84253850的博客
05-01 486
seccomp_init的作用就是初始化 scmp_filter_ctx结构。需要注意的是，任何其他libseccomp中的函数调用，必须在seccomp_init之后。scmp_filter_ctx seccomp_init(uint32_t def_action);成功返回scmp_filter_ctx（过滤器上下文） ctx；失败返回NULLdef_action用于指定默认行为，有效动作值如下：（当线程调用了过滤规则中没有相关配置规则的系统调用时触发）线程将会被内核以SIGSYS信号终止；整个进程被终
Docker 与 seccomp 之间的联系
k8s 生态
09-22 982
本篇是第六部分“安全篇”的最后一篇，前面三篇，我为你介绍了镜像及容器安全相关的内容以及 Linux 的 LSM 如何为容器安全保驾护航。本篇，我们将重点放在 Linux 内核中 seccomp 与 Docker 之间的联系。 前面两篇，我分别为你介绍了如何使用 Linux capabilities 和 Linux LSM 模块为 Docker 容器提供安全的能力。本篇，我们将继续容器安全的...
操作系统大赛：基于 eBPF 的容器监控工具 Eunomia 初赛报告（容器信息收集、安全规则与 seccomp）
云微的blog
07-07 982
项目仓库：https://github.com/yunwei37/Eunomia目前我们的容器追踪模块是基于进程追踪模块实现的，其数据结构为： 容器追踪模块由实现 同时我们添加了一个manager类来控制tracker。 4.5.2. 容器追踪实现 容器追踪模块的ebpf代码服用了process追踪模块的ebpf代码，因此这里我们只介绍用户态下对数据处理的设计。 当内核态捕捉到进程的数据返回到用户态时，我们调用函数，判断该进程是否归属于一个container，其具体实现为： 首先，如果进程处于退出状态，那么
Android小分享：通用svc跟踪以及hook方案
m0_64420071的博客
04-10 2118
目前暂时只支持ARM64，ARM32的逻辑也是一样，有兴趣的大佬们可以自行更改哈 具体效果 对 openat进行跟踪： 对 recvfrom进行跟踪： 到底什么是seccomp呢？ 其实概念并不难，但是大家要多多实践去操作。 seccomp 是 Linux 内核提供的一种应用程序沙箱机制，主要通过限制进程的系统调用来完成部分沙箱隔离功能。seccomp-bpf 是 seccomp 的一个扩展，它可以通过配置来允许应用程序调用其他的系统调用。 如何和frida结合? 基本原理 这是.
seccomp-tools:提供用于seccomp分析的强大工具
04-06
Seccomp工具 提供用于seccomp分析的强大工具。 该项目旨在（但不限于）分析CTF pwn挑战中的seccomp沙箱。 某些功能可能是CTF特有的，但对于在实际情况下分析seccomp仍然有用。 特征 转储-自动从执行文件中转储seccomp-bpf。 Disasm-将bpf转换为人类可读的格式。 简单的反编译。 尽可能显示系统调用名称和参数。 丰富多彩的！ Asm-编写seccomp规则是如此简单！ mu-模拟seccomp规则。 支持多架构。 安装 在RubyGems.org上可用！ $ gem install seccomp-tools 如果编译时失败，请尝试： sudo apt install gcc ruby-dev 并再次安装seccomp-tools。 命令行界面 seccomp工具 $ seccomp-tools --help # Usage:
Sandbox的安全机制 —— 使用 seccomp(1)
2301_76223496的博客
04-12 1070
char *argv[] = {“/bin/sh”, NULL};char *envp[] = {NULL};syscall(SYS_execve, filename, argv, envp); // execvereturn 0;}编译gcc -o ban ban.c -l seccomp运行程序songyangji@SongyangJi-Ubuntu-DeskStop:~/桌面$ ./ban错误的系统调用 (核心已转储) # Bad system call (core dumped)api rule根据
Linux seccomp机制
、moddemod
06-19 2040
简介 seccomp是一种内核中的安全机制，正常情况下，程序可以使用所有的syscall,这是不安全的，比如程序劫持程序流后通过execve的syscall来getshell。通过seccomp我们可以在程序中禁用掉某些syscall，这就就算劫持了程序流也只能调用部分的syscall了 演示 正常的系统调用，可以使用所有系统调用 #include<unistd.h> #include<sys/syscall.h> int main() { char * filename =
理解Seccomp
漫步量化
12-25 441
Seccomp seccomp (short for secure computing mode) is a computer security facility in the Linux kernel. seccomp allows a process to make a one-way transition into a “secure” state where it cannot make any system calls exit(), sigreturn(), read(), write() ..
Sec-comp机制简介及编程案例
李老板的移动安全杂货铺
12-03 1598
然后，我们使用`seccomp_rule_add()`函数添加了一些允许的系统调用，例如`open()`、`read()`、`write()`和`close()`。然后，我们使用`seccomp_load()`函数加载seccomp过滤器，`prctl()`函数将本进程设置为seccomp模式，并运行了“she'll”进程（你可以将路径更改为she'll进程的正确路径）。seccomp机制的优点是可以有效地限制应用程序的权限和可执行的系统调用，减少了恶意代码的攻击面，提高了系统的安全性。
seccomp的学习
凌云俯瞰
04-01 8553
做pwn，用seccomp做沙箱保护很常见。有时候seccomp后面会跟一个结构体，趁此机会学习一把。 1、 简介 seccomp是一种内核中的安全机制,正常情况下,程序可以使用所有的syscall,这是不安全的,比如劫持程序流后通过execve的syscall来getshell.通过seccomp我们可以在程序中禁用掉某些syscall,这样就算劫持了程序流也只能调用部分的syscall了. 2...
Linux Seccomp 简介
小立仔
02-27 1436
Linux Seccomp简介，以及其简单的使用。
Google官方介绍Android O中的Seccomp过滤器
weixin_34375233的博客
07-31 276
文 / Android 安全工程师 Paul Lawrence在运行 Android 的设备中，强制执行 Android 安全模型的重任交给内核处理。由于安全团队已加固 Android 用户空间，隔离进程并削弱进程的权限，因此，越来越多的安全攻击将其焦点转到内核上。系统调用是攻击者攻击内核的常用方式之一。所有 Android 软件都使用系统调用（简称为 syscall）与 Linux 内核进行通信...
如何使用seccomp
最新发布
10-24
Seccomp (Security Compute Module) 是一种 Linux 安全机制，它允许系统管理员控制应用程序可以使用的系统调用。通过限制进程可以访问的系统 API，它有助于防止恶意软件滥用系统功能。以下是使用 Seccomp 的基本步骤： 1. **安装 seccomp**: 对于大多数Linux发行版，你可以通过包管理器安装`libseccomp-dev`库，然后编译或安装支持Seccomp的应用程序。 2. **编写Seccomp规则文件**: 使用文本编辑器创建一个`.seccomp`文件，例如`myapp.seccomp`。在这个文件里，你需要定义一系列的规则，每个规则由基础操作码（syscall number）和对应的处理模式组成。模式可以是 `SCMP_ACT_ALLOW`（允许）、`SCMP_ACT_KILL`（终止进程）、`SCMP_ACT_ERRNO`（返回错误号）等。 ```bash { #include <syscalls> // 允许特定的系统调用 sys_write = SCMP_ACT_ALLOW; sys_read = SCMP_ACT_ALLOW; // 禁止其他系统调用 SYS_exit_group = SCMP_ACT_KILL; /* 阻止退出 */ } ``` 3. **启用Seccomp**: 应用程序启动前，需要加载这个规则文件到内核模块。这通常在`main()`函数之前完成，比如使用`prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, ...)`。 4. **检查和审计**: 开发者应验证应用是否按预期运行，并监控日志以检测潜在的安全漏洞。某些工具如`sysdig`或`ptrace`可以帮助调试和分析Seccomp策略的效果。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值