Effiziente Linux-Systemaufruf-Abfangung: Über die Ineffizienzen von ptrace hinaus

Dieser Artikel stellt eine effizientere Methode zum Abfangen von Linux-Systemaufrufen vor als ptrace: seccomp user notify. Durch die Verwendung von BPF-Filtern wird nur für die gewünschten Systemaufrufe zurückgegeben, wodurch die Performance-Überlastung deutlich reduziert wird. Der Autor verwendet sein Tool, copycat, als Beispiel und zeigt, wie man open()-Systemaufrufe abfängt, um den Dateiaustausch zu erreichen. Der Artikel beschreibt den Mechanismus von seccomp user notify im Detail, einschließlich der Erstellung von BPF-Filtern und der Behandlung von Systemaufrufargumenten. Sicherheit und potenzielle Probleme, wie z. B. TOCTOU-Angriffe, werden ebenfalls erörtert.