Android pixel6编译eBPF程序隐藏进程学习

背景

eBPF学习，环境是在pixel6上面。之前隐藏进程的程序会导致手机卡死。今天再次去看资料的时候发现：https://github.com/eunomia-bpf/bpf-developer-tutorial

在这个GitHub项目中也有一个进程隐藏的案例，继续学习学习。下面的代码中包括了官方注释和一些自己理解的笔记，如果有错误，欢迎评论区讨论。

---

环境要求：

1、pixel6设备Android13。

2、内核已经开启FTRACT，BTF等配置

3、已经root，配置eadb环境（具体可以看我之前的环境配置）

4、上面的项目仓库只针对x86_64平台，现在在arm64上面需要修复错误。

项目代码增加注释

主要原理是这样的：

要实现进程隐藏，关键在于操作 /proc/ 目录。在 Linux 中，getdents64 系统调用可以读取目录下的文件信息。我们可以通过挂接这个系统调用，修改它返回的结果，从而达到隐藏文件的目的。实现这个功能需要使用到 eBPF 的 bpf_probe_write_user 功能，它可以修改用户空间的内存，因此能用来修改 getdents64 返回的结果。

内核态程序

也就是pidhide.bpf.c

// SPDX-License-Identifier: BSD-3-Clause