使用ftrace跟踪execve

最新推荐文章于 2024-08-18 10:28:03 发布

信安成长日记

最新推荐文章于 2024-08-18 10:28:03 发布

阅读量191

点赞数

CC 4.0 BY-SA版权

分类专栏：安全研发文章标签： linux 运维服务器

本文链接：https://blog.youkuaiyun.com/SHELLCODE_8BIT/article/details/128230957

安全研发专栏收录该内容

443 篇文章 ¥9.90 ¥99.00

订阅专栏

超级会员免费看

命令如下

echo 1 > /sys/kernel/debug/tracing/events/sched/sched_process_exec/enable
cat /sys/kernel/debug/tracing/trace && echo > /sys/kernel/debug/tracing/trace

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

信安成长日记

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
打赏
打赏
打赏举报

举报

专栏目录

订阅专栏

linux内核中的hook,【Linux内核调试】使用Ftrace来Hook linux内核函数

weixin_32050773的博客

04-29

544

目标：hook几个Linux内核函数调用，如打开文件和启动进程，并利用它来启用系统活动监控并抢先阻止可疑进程。一、方案比较1. 使用Linux安全API方法：内核代码的关键点包含安全函数调用，这些调用可能触发安全模块安装的回调，该模块可以分析特定操作的上下文，并决定是允许还是禁止它。限制：安全模块无法动态加载，所以需要重新编译内核。2. 修改系统调用表方法：所有Linux系统调用处理程序都存储在s...

execve 继承了什么？映射、信号、文件描述符、优先级、ptrace

kiraskyler的博客

01-08

1158

execve syscall 做了什么重要参考Linux 进程启动 execve 系统调用内核源码解析sp 就绪执行环境okmaps 映射父进程的所有maps都会消失里被替换为新的进程的mmfiles 文件描述符不变对除了复制下来外没有额外处理（除了open时候标记为O_CLOEXEC的会被关闭）stdin stdout stderr 和其他都不会有变化继承父进程，bash中的管道得以实现信号除了忽略的，其他都被重置为默认信号处理。

参与评论您还未登录，请先登录后发表或查看评论

推荐文章：探索内核的奥秘 —— 利用ftrace-hook实现功能挂钩

最新发布

gitblog_00572的博客

08-18

347

Linux shell 内建命令

小立仔

08-29

1818

Linux bash shell简介以及内建命令和外部命令简介

第一个eBPF程序.md

程序猿Ricky的日常干货

03-09

1153

背景了解bpf的童鞋都应该知道，bpf程序是可以attach到不同的probe点上来做内核级别的trace，那么对于刚入门的人来说，如何来编写一个初级的bpf程序呢？这就是本篇博文想要介绍的内容。 bpf程序的组成 BPF程序我们知道它需要先使用LLVM进行编译，完成后加载到内核中去执行，那么对于一个完成的BPF程序来说，它应该包含有两部分：第一部分是用户态程序，它的作用是用来加载编译完成的内核BPF字节码文件，并且与内核态程序进行交互，一般是获取profiling数据。第二部分是内核态BPF程序，

bpf读取长字符串拼接问题

weixin_51342637的博客

07-04

355

bpf读取长字符串拼接问题

eBPF学习笔记（二）—— eBPF开发工具

lzyddf的博客

11-14

3238

本篇记录对bpftrace、BCC、libbpf等eBPF常用开发工具的基本使用。

【嵌入式Linux】内核启动分析与源码跟踪

05-25

1870

【嵌入式Linux】内核启动分析与源码跟踪

Linux内核分析之三——使用gdb跟踪调试内核从start_kernel到init进程启动

hoikin-yiu

03-11

2683

作者：姚开健原创作品转载请注明出处《Linux内核分析》MOOC课程http://mooc.study.163.com/course/USTC-1000029000 Linux内核（本文以Linux-3.18.6为例）的启动在源代码init文件夹里的main.c文件，在经过执行一些汇编代码（把内核代码文件放到内存中解压缩，初始化C执行环境等等工作）后，会进入一个C编写的函数s

利用bftrace跟踪运行进程

zhaoyangjian724的专栏

10-29

253

rw-rw-r-- 1 scan scan 724 10月 21 21:59 trace-open.py。-rw-rw-r-- 1 scan scan 753 10月 21 22:04 trace-open.c。-rwxr-xr-x 1 scan scan 1651112 10月 22 11:29 bpftool。drwx------ 3 scan scan 4096 10月 21 20:11 snap。利用bftrace跟踪运行进程。

使用ftrace进行Linux内核hooking解决方案

m0_46671092的博客

09-08

690

通常命令行解释器(比如Bash)使用标准C库中的常用函数fork()和execve()来启动一个新进程。在系统内部，这些函数分别通过系统调用clone()和execve()来实现。我们hook execve()系统调用，以获得启动新进程的控制权。下面的图给出了一个ftrace示例，并说明了hooking处理函数的过程。在此图中，我们可以看到用户进程（蓝色）如何执行对内核（红色）的系统调用，其中ftrace框架（紫色）从我们的模块（绿色）调用函数。下面，我们详细描述这个过程的每一步: SYSCALL

eBPF理解 (四)

08-27

1850

bpftrace用在快速排除和定位系统上，简单的脚本开发并执行；BCC用在复杂的eBPF开发，使用最广泛；libbpf从内核中抽离出来的标准库，不在需要每台机器安装LLVM和内核头文件。

eBPF学习记录（三）使用BCC开发eBPF程序

jianjian的博客

02-27

7646

上一节我们已经初步体验了 eBPF 程序的开发和执行过程，现在我们试试了解一下bpftrace使用方法。

使用ebpf 监控mysqld 内核

qq_32783703的博客

01-24

2104

我们使用ebpf 监控mysql的话有两个思路去做这件事情1、kprobe -> hook 掉tcp_sendmsg 和 tcp_recvmsg 一类的内核函数去分析网络协议2、uprobe -> hook 掉 mysqld 的api函数，然后在此基础上进行统计。

强劲的Linux Trace工具：bpftrace (DTrace 2.0) for Linux 2018

Linux阅码场

06-02

8287

Original:阿里姜弋内核月谈译者：姜弋译者注：原作者是大名鼎鼎的性能分析专家：Brendan Gregg，现在工作在Netflix，之前工作在Sun，在Sun公...

bpftrace参考指南

热门推荐

qq_40711766的博客

03-25

1万+

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档文章目录前言一、名词解释二、使用示范1. help2. Hello World3. One-Liners程序4. 列出可跟踪点5. 调试输出6. 输出详情7. 环境变量8. 其它选项三、语法格式1. 程序结构{...}2. 过滤/.../3. 注释//, /**/4. 常量5. c结构体访问：->6. 结构体定义: struct7. 三元操作符 ?::8. 条件语句 if () {..} else {..}9. 循环语句unroll.

系统调用execve的入口sys_execve()

SunnyBeiKe的专栏

10-24

9970

/* * sys_execve() executes a new program. */ long sys_execve(const char __user *name, //需要执行的文件的绝对路径（存于用户空间） const char __user *const __user *argv, //传入系统调用的参数（存于用户空间） const ch

基于 eBPF 的新型追踪工具：bpftrace

Free雅轩的博客

08-14

1133

bpftrace 是一个基于 eBPF 的新型追踪工具，在 Fedora 28 第一次引入。Brendan Gregg、Alastair Robertson 和 Matheus Marchini 在网上的一个松散的黑客团队的帮助下开发了 bpftrace。它是一个允许你分析系统在幕后正在执行的操作的追踪工具，可以告诉你代码中正在被调用的函数、传递给函数的参数、函数的调用次数等。这篇文章的内容涉及了 bpftrace 的一些基础，以及它是如何工作的，请继续阅读获取更多的信息和一些有用的实例。 eBP

使用Ftrace测量函数执行时间

Ftrace是一个内置于Linux内核的通用跟踪系统，自2.6.27版本被合并到主线内核，起源于RT-preempt延迟跟踪器。Ftrace提供了一个通用框架，允许定义追踪点并注册不同类型的追踪器。其特殊的数据结构（环形缓冲区）用于...