seccomp(全称securecomputing mode) 是linuxkernel从2.6.23版本开始所支持的一种安全机制。
在Linux系统里,大量的系统调用(systemcall)直接暴露给用户态程序。
但是,并不是所有的系统调用都被需要,而且不安全的代码滥用系统调用会对系统造成安全威胁。
通过seccomp,我们限制程序使用某些系统调用,这样可以减少系统的暴露面,同时是程序进入一种“安全”的状态。
git clone https://github.com/seccomp/libseccomp.git
//自己选择 tag 或 branch 默认最新
./autogen.sh //需要autoconf automake
./configure
make V=1
make install
make check
在构建完成之后，doc/man目录下面有可以参考的手册，通过man xxxx 来查询详细的使用用法
其他的一些参考资料
Documentation/prctl/seccomp_filter.txt
https://www.kernel.org/doc/Documentation/prctl/seccomp_filter.txt
http://man7.org/linux/man-pages/man2/seccomp.2.html
libseccomp是由 automake 组织构建的。
先看 configure.ac文件
AC_INIT([libseccomp], [2.3.3]) //定义了包名和版本号
AC_CONFIG_AUX_DIR([build-aux]) //辅助工具的存放路径
AC_CONFIG_HEADERS([configure.h]) //宏定义变量的变量集合
AC_CONFIG_MACRO_DIR([m4]) //指定本地autoconf宏的位置,m4文件夹下定义了check-code-coverage
//m4 中 define (name, [expansion])
m4_define([serial_tests], [
//m4 中 esyscmd(shell-command)
m4_esyscmd([automake --version |
head -1 |
awk '{split ($NF,a,"."); if (a[1] == 1 && a[2] >= 12) { print "serial-tests" }}'
])
])
//根据automake的版本去
AM_INIT_AUTOMAKE(-Wall foreign subdir-objects tar-pax serial_tests) //增加make 的 options
AC_PROG_CC //检查要使用的c编译器
AM_PROG_CC_C_O //测试上面的次编译器的 -c 和 -o
m4_ifdef([AM_PROG_AR], [AM_PROG_AR])
LT_INIT([shared pic-only]) //启用libtool
m4_ifdef([AM_SILENT_RULES], [AM_SILENT_RULES([yes])]) //减少构建输出
AM_CPPFLAGS="-I\${top_srcdir}/include" //cpp flags
AM_CFLAGS="-Wall" //c flags
AM_LDFLAGS="-Wl,-z -Wl,relro" //ld flags
AC_SUBST([AM_CPPFLAGS]) //加入变量
AC_SUBST([AM_CFLAGS])
AC_SUBST([AM_LDFLAGS])
AC_CHECK_HEADERS_ONCE([linux/seccomp.h]) //检查下这个文件是否存在
//获取版本信息
VERSION_MAJOR=$(echo ${VERSION} | cut -d'.' -f 1)
VERSION_MINOR=$(echo ${VERSION} | cut -d'.' -f 2)
VERSION_MICRO=$(echo ${VERSION} | cut -d'.' -f 3)
AC_SUBST([VERSION_MAJOR])
AC_SUBST([VERSION_MINOR])
AC_SUBST([VERSION_MICRO])
// cython checks 略
// python binding checks 略
// coverity checks 略
// code coverage checks
//指明需要版本信息来生成的文件
AC_CONFIG_FILES([
libseccomp.pc
include/seccomp.h
])
//指明需要生成的各级Makefile
AC_CONFIG_FILES([
Makefile
include/Makefile
src/Makefile
src/python/Makefile
tools/Makefile
tests/Makefile
doc/Makefile
])
再看 makefile.am文件
顶层目录的makefile
ACLOCAL_AMFLAGS =-I m4 //需要引用的宏的地址
SUBDIRS = include src tools tests doc //下级 makefile.am地址
pkgconfdir = ${libdir}/pkgconfig
pkgconf_DATA = libseccomp.pc
EXTRA_DIST = CHANGELOG CREDITS LICENSE README.md SUBMITTING_PATCHES //规范中没有定义，但是选上的文件
//配置静默安装
AM_MAKEFLAGS_0 = --quiet --no-print-directory
AM_MAKEFLAGS_1 =
AM_MAKEFLAGS_ = ${AM_MAKEFLAGS_0}
AM_MAKEFLAGS = ${AM_MAKEFLAGS_@AM_V@}
//切到src和tests中构建
check-build: all
${MAKE} ${AM_MAKEFLAGS} -C src check-build
${MAKE} ${AM_MAKEFLAGS} -C tests check-build
check-syntax:
@./tools/check-syntax //使用astyle来优化代码格式
check-code-coverage: check-build
${MAKE} ${AM_MAKEFLAGS} -C tests check-code-coverage
按照SUBDIRS的顺序依次进入子目录， 首先是include。
include_HEADERS = seccomp.h
src目录
//看是否开启Python，开启的话则增加PYTHON到子目录中
SUBDIRS = .
if ENABLE_PYTHON
SUBDIRS += python
endif
SOURCE_ALL = ... //所有的源文件
EXTRA_DIST = arch-syscall-validate
TESTS = arch-syscall-check
check_PROGRAMS = arch-syscall-check arch-syscall-dump //指定系统的测试程序
lib_LTLIBRARIES = libseccomp.la
arch_syscall_dump_SOURCES = arch-syscall-dump.c ${SOURCES_ALL}
arch_syscall_check_SOURCES = arch-syscall-check.c ${SOURCES_ALL}
libseccomp_la_SOURCES = ${SOURCES_ALL}
libseccomp_la_CPPFLAGS = ${AM_CPPFLAGS} ${CODE_COVERAGE_CPPFLAGS} \
-I${top_builddir}/include
libseccomp_la_CFLAGS = ${AM_CFLAGS} ${CODE_COVERAGE_CFLAGS} ${CFLAGS} \
-fPIC -DPIC -fvisibility=hidden
libseccomp_la_LDFLAGS = ${AM_LDFLAGS} ${CODE_COVERAGE_LDFLAGS} ${LDFLAGS} \
-version-number ${VERSION_MAJOR}:${VERSION_MINOR}:${VERSION_MICRO}
check-build:
${MAKE} ${AM_MAKEFLAGS} ${check_PROGRAMS}
tools的makefile.am
AM_CPPFLAGS = -I${top_builddir}/include
noinst_LTLIBRARIES = util.la //lib_LTLIBRARIES
util_la_SOURCES = util.c util.h bpf.h
util_la_LDFLAGS = -module
//安装的程序
bin_PROGRAMS = \
scmp_sys_resolver
//没有安装的程序
noinst_PROGRAMS = \
scmp_arch_detect \
scmp_bpf_disasm \
scmp_bpf_sim
EXTRA_DIST = check-syntax scmp_app_inspector
scmp_bpf_disasm_SOURCES = scmp_bpf_disasm.c bpf.h util.h
scmp_bpf_sim_SOURCES = scmp_bpf_sim.c bpf.h util.h
scmp_sys_resolver_LDADD = ../src/libseccomp.la
scmp_sys_resolver_LDFLAGS = -static
scmp_arch_detect_LDADD = ../src/libseccomp.la
scmp_arch_detect_LDFLAGS = -static
scmp_bpf_disasm_LDADD = util.la
scmp_bpf_sim_LDADD = util.la
test中的makefile.am
//code_coverage_rules 略
LDADD = util.la ../src/libseccomp.la
check_LTLIBRARIES = util.la
util_la_SOURCES = util.c util.h
util_la_LDFLAGS = -module
TESTS = regression //主体的测试程序
check_PROGRAMS = ...
EXTRA_DIST_TESTPYTHON = ...
EXTRA_DIST_TESTCFGS = ...
EXTRA_DIST_TESTSCRIPTS = regression testdiff testgen // 3个测试脚本
EXTRA_DIST_TESTVALGRIND = valgrind_test.supp
nodist_00_test_SOURCES = 00-test.c
EXTRA_PROGRAMS = 00-test
check-build:
${MAKE} ${AM_MAKEFLAGS} ${check_PROGRAMS}
clean-local:
${RM} -f 00-test *.pyc
doc的就略过了， 筛选出关键的外部程序或脚本
regression
testdiff \ testgen // compare test output from different test runs
check-syntax // a basic C style/format checking tool
scmp_app_inspector //a simple syscall inspector based on strace
scmp_sys_resolver \ scmp_arch_detect \ scmp_bpf_disasm \ scmp_bpf_sim
arch-syscall-validate //a simple syscall validation tool
进入tests目录
发现 [数字]-[名称].[c\py\tests]
这是 regression脚本对上面的文件进行libseccomp的测试
其中 .c和 .py是测试的主题逻辑
.test文件则是参与测试的样例数据
其中主体的测试控制程序是 regression ， 可以通过 -h 来查看使用方法，默认不增加参数即可开启测试
regression是一个shell程序，分析其代码：
run_tests
|--> run_test $batch_name $testnum $line $test_type
| //其中举例 01-sim-allow.tests
| // 01-sim-allow 01 "01-sim-allow all 0-350 N N N N N N ALLOW" bpf-sim
|-->
| run_test_basic
| run_test_bpf_sim_fuzz
| run_test_bpf_valgrind
| run_test_live
|--> run_test_bpf_sim 01-sim-allow 01 "01-sim-allow all 0-350 N N N N N N ALLOW"
|--> run_test_command "$testnumstr" "./$testname" "-b" 4 ""
|--> 01-sim-allow
注意:由于参数较多，组合起来的测试方案多种多样，所以xxxx.tests文件中定义 range的模式，比0-300表示 0 到 300，regression会将这些表示拆开，然后分别执行，在对比日志的时候可以得到佐证。
regression的最后通过调用 run_test_command 最后进入了 c的测试程序，在进入c的测试程序之前，我们需要熟悉下libseccomp 的一些api。
//初始化seccomp filter state
scmp_filter_ctx seccomp_init(uint32_t def_action);
int seccomp_reset(scmp_filter_ctx ctx, unit32_t def_action);
def_action：
SCMP_ACT_KILL , SCMP_ACT_TRAP , ACMP_ACT_ERRNO , SCMP_ACT_TRACE , SCMP_ACT_ALLOW
//释放seccomp filter state ,已经loaded into kernel不受影响
void seccomp_release(scmp_filter_ctx ctx);
//合并两个seccomp filter,src会被释放，不需要在调用 seccomp_release
//filter值需要一致，架构需要重叠
int seccomp_merge(scmp_filter_ctx dst, scmp_filter_ctx src);
//架构管理
uint32_t seccomp_arch_resolve_name(const char *arch_name);
uint32_t seccomp_arch_native();
int seccomp_arch_exist(const scmp_filter_ctx ctx, uint32_t arch_token);
int seccomp_arch_add(scmp_filter_ctx ctx, uint32_t arch_token);
int seccomp_arch_remove(scmp_filter_ctx ctx, uint32_t arch_token);
uint32_t arch_token 由 SCMP_ARCH_* 定义的常量
SCMP_ARCH_NATIVE 常量总是指向本地编译的架构
当一个新的架构加进来的时候，老 的filter和它没关系，但是后面新增的filter都跟他相关。
//属性管理
int seccomp_attr_set(scmp_filter_ctx ctx,
enum scmp_filter_attr attr, uint32_t value)
int seccomp_attr_get(scmp_filter_ctx ctx,
enum scmp_filter_attr attr, uint32_t *value)
可选的scmp_filter_attr为
SCMP_FLTATR_ACT_DEFAULT
只读属性
SCMP_FLTATR_ACT_BADARCH //def_action
如果架构不匹配，那么默认 SCMP_ACT_KILL
SCMP_FLTATR_CTL_NNP //boolean
定义NO_NEW_PRIVS在filter加载到内核之前就应该被启动。如果这个为0，那么会去检查 CAP_SYS_ADMIN，不然失败。默认1。
SCMP_FLTATR_CTL_TSYNC //boolean
设置表示seccomp_load调用的时候需要全部同步filter
SCMP_FLTATR_ATL_TSKIP //boolean
设置表示可以创建 -1的syscall
//导出seccomp filter
int seccomp_export_bpf(const scmp_filter_ctx, int fd); //bpf --> Berkley Packet Filter
int seccomp_export_pfc(const scmp_filter_ctx, int fd); //pfc --> Pseudo Filter Code
//装载filter到kernel中
int seccomp_load(scmp_filter_ctx ctx); //成功的加载
//增加 seccomp filter rule
int SCMP_SYS(syscall_name);
struct scmp_arg_cmp SCMP_CMP(unsigned int arg, enum scmp_compare op, ...);
struct scmp_arg_cmp SCMP_A0(enum scmp_compare op, ...);
...
struct scmp_arg_cmp SCMP_A5(enum scmp_compare op, ...);
int seccomp_rule_add(scmp_filter_ctx ctx, uint32_t action , int syscall, unsigned int arg_cnt, ...);
int seccomp_rule_add_exact(scmp_filter_ctx ctx, uint32_t action, int syscall, unsigned int arg_cnt, ...);
int seccomp_rule_add_array(scmp_filter_ctx ctx, uint32_t action, int syscall, unsigned int arg_cnt, const struct scmp_arg_cmp *arg_array);
int seccomp_rule_add_exact_array(scmp_filter_ctx ctx, uint32_t action, int syscal, unsigned int arg_cnt, const struct scmp_arg_cmp *arg_array);
新加入的filter rule需要load进 kernel才会生效
SCMP_CMP（） 和 SCMP_A{0-5}()宏 生成一个 scmp_arg_cmp结构用到上面的函数中。
//区分 seccomp filter 中的 syscall
int seccomp_syscall_priority(scmp_filter_ctx ctx, int syscall, uint8_t priority);
//解析syscall名称
int seccomp_syscall_resolve_name(const char *name);
int seccomp_syscall_resolve_name_arch(uint32_t arch_token, const char *name);
int seccomp_syscall_resolve_name_rewrite(uint32_t arch_token, const char *name);
char *seccomp_syscall_resolve_num_arch(uint32_t arch_torken, int num);
进入 01-sim-alloc.c 代码
...
ctx = seccomp_init(SCMP_ACT_ALLOW);
...
rc = util_filter_output(&opts,ctx);
|--> _ctx_valid(ctx)
|--> program = gen_bpf_generate((struct db_filter_col *) ctx);
|--> _gen_bpf_build_bpf(stcut bpf_state *state,const struct db_filter_col *col)
|--> ???