【Abyss】Android平台BPF和SECCOMP的SVC指令拦截

Android平台从上到下，无需ROOT/解锁/刷机，应用级拦截框架的最后一环 —— SVC系统调用拦截。

☞ Github: https://www.github.com/iofomo/abyss ☜

由于我们虚拟化产品的需求，需要支持在普通的Android手机运行。我们需要搭建覆盖应用从上到下各层的应用级拦截框架，而Abyss作为系统SVC指令的调用拦截，是我们最底层的终极方案。

源码位置：https://github.com/iofomo/abyss/tree/main/svcer

01. 说明

Seccomp（Secure Computing Mode）：

Seccomp 是 Linux 内核的一个安全特性，用于限制进程可以执行的系统调用。它通过过滤系统调用，防止恶意程序执行危险操作。Seccomp 通常与 BPF 结合使用，以实现更灵活的过滤规则。

BPF（Berkeley Packet Filter）：

BPF 是一种内核技术，最初用于网络数据包过滤，但后来被扩展用于更广泛的用途，包括系统调用过滤。BPF 程序可以在内核中运行，用于检查和过滤系统调用。

02. 主要流程

首先，配置 BPF 规则，如下我们配置了目标系统调用号的拦截规则，不在这个名单内的就放过，这样可以实现仅拦截我们关心的系统调用（即函数），提升拦截效率和稳定性。

static void doInitSyscallNumberFilter(struct sock_filter* filter, unsigned short& i) {
   
    // Load syscall number into accumulator
    filter[i++] = BPF_STMT(BPF_LD | BPF_W | BPF_ABS, (offsetof(struct seccomp_data, nr)));
    // config target syscall
    // add more syscall here ...
//    filter[i++] = BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_openat, 5, 0);
//    filter[i++] = BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_getcwd, 4, 0);
//    filter[i++] = BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_chdir, 3, 0);
//    filter[i++] = BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_execve, 2, 0);
    filter[i++] = BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_openat, 1, 0);

    filter[i++] = BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW);
}

然后，我们需要过滤掉一些系统库和自身库，防止写入死循环。

• 自身实现库的过滤【必须】
• vdso 的过滤【必须】
• linker 的过滤【可选，提效】
• libc 的过滤【可选，提效】

通过解析进程 maps 中对应库地址区间，配置跳过此区间的系统调用规则。

static void doInitSyscallLibFilterByAddr(struct sock_filter* filter, unsigned short& i, const uintptr_t& start, const uintptr_t& end) {
   
    // Load syscall lib into accumulator