[原创]SVC的TraceHook沙箱的实现&无痕Hook实现思路-Android安全-看雪-安全社区|安全招聘|kanxue.com

[原创]SVC的TraceHook沙箱的实现&无痕Hook实现思路

发表于: 2022-6-4 16:39 64604

[原创]SVC的TraceHook沙箱的实现&无痕Hook实现思路

珍惜Any

2022-6-4 16:39

64604

查看主题内容

收藏・210

免费・79

支持

打赏 + 165.00雪花

打赏次数 4

雪花 + 165.00

ch1	+5.00	2022/09/25	拨云见雾，受到启发，楼主继续努力！
Editor	+150.00	2022/07/04	恭喜您获得“雪花”奖励，安全圈有你而精彩！
Imyang	+5.00	2022/06/04
菱志漪	+5.00	2022/06/04	大佬牛鼻

最新回复 (108) ◀ 1 2 3 4 5 ▶
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 76 楼不是这么用的。cmake支持asm 直接导入.S文件就可以了 ...... 2023-1-16 23:46 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 77 楼珍惜Any 不是这么用的。cmake支持asm 直接导入.S文件就可以了 ...... 可是32位的我这样用就没问题呀 2023-1-17 11:41 0
不吃早饭雪币： 29 活跃值： (5857) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 184 粉丝 21 关注私信	不吃早饭 78 楼万里星河可是32位的我这样用就没问题呀[em_5] 标注一下naked函数，编译器自动生成的入口部分破坏了上下文 2023-1-17 11:48 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 79 楼不吃早饭标注一下naked函数，编译器自动生成的入口部分破坏了上下文嗯标注了naked还是有个坑就是不支持不定长参数目前这样可以用但是感觉不够优雅 2023-1-17 18:05 0
不吃早饭雪币： 29 活跃值： (5857) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 184 粉丝 21 关注私信	不吃早饭 80 楼万里星河嗯标注了naked还是有个坑就是不支持不定长参数目前这样可以用但是感觉不够优雅那你为什么不试试把它定义成变长函数？ 2023-1-17 19:15 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 81 楼创建一个.s文件，按照我这样写。 2023-1-17 23:05 0
xxRea 雪币： 120 活跃值： (1597) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 148 粉丝 1 关注私信	xxRea 82 楼 mark 2023-1-17 23:07 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 83 楼不吃早饭那你为什么不试试把它定义成变长函数？变长参数始终不行不知为啥但是也不是完全不行第一次的opnat的系统调用正常紧接着的read系统调用出的问题把参数都写出来的版本就没问题最后于 2023-1-18 13:48 被万里星河编辑，原因： 2023-1-18 13:32 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 84 楼珍惜Any 创建一个.s文件，按照我这样写。报未定义的错误应该是汇编文件没在cmakeLists.txt里配置好但百度了一圈也没看到配置方法 2023-1-18 13:37 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 85 楼需要加一下ams支持，这个我在课程都讲过了，v296488320 2023-1-18 20:33 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 86 楼我看你源码里面没有这个头文件啊，你需要创建一个头文件，.....看我上面图片 2023-1-18 20:34 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 87 楼珍惜Any 我看你源码里面没有这个头文件啊，你需要创建一个头文件，.....看我上面图片好的我明白了感谢大佬 2023-1-19 09:23 0
樊辉雪币： 71 活跃值： (1414) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 152 粉丝 1 关注私信	樊辉 88 楼珍惜Any 创建一个.s文件，按照我这样写。大佬，怎么样才能hook execve("ps",...) 过滤掉ps输出的部分内容？ 2023-2-22 23:03 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 89 楼我这个文章写的很详细了，你可以在执行execve之前先生成一份文件，然后把参数换成cat你的文件 2023-2-23 10:18 0
mb_ggnlrzcs 雪币： 225 活跃值： (271) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 1 关注私信	mb_ggnlrzcs 90 楼 666,mark 一下 2023-2-23 11:37 0
樊辉雪币： 71 活跃值： (1414) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 152 粉丝 1 关注私信	樊辉 91 楼珍惜Any 我这个文章写的很详细了，你可以在执行execve之前先生成一份文件，然后把参数换成cat你的文件好思路，谢谢大佬 2023-2-23 15:50 0
樊辉雪币： 71 活跃值： (1414) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 152 粉丝 1 关注私信	樊辉 92 楼珍惜Any 我这个文章写的很详细了，你可以在执行execve之前先生成一份文件，然后把参数换成cat你的文件再次感谢最后于 2023-2-25 11:36 被樊辉编辑，原因： 2023-2-25 10:15 0
mb_foyotena 雪币： 477 活跃值： (1412) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 304 粉丝 14 关注私信	mb_foyotena 93 楼有没有开箱即用的tool啊 2023-3-10 18:03 0
Andy_877594 雪币： 404 活跃值： (959) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 11 粉丝 3 关注私信	Andy_877594 94 楼 mark 2023-3-12 22:47 0
憨豆爆发雪币： 207 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 22 粉丝 10 关注私信	憨豆爆发 95 楼 tql 2023-3-20 13:04 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 96 楼 mark 2023-6-7 19:45 0
winte 雪币： 18 活跃值： (71) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	winte 97 楼某些国产手机也是这样禁用了hook软件签名 2023-6-7 22:38 0
mb_eubdckcw 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 1 关注私信	mb_eubdckcw 98 楼 proot 修改svc返回值依赖于tracee->restart_how = PTRACE_SYSCALL;等待下一次syscall exit stop，这也是linux文档里写的用法。至于proot修改sp简单看了一下，只是为了恢复alloc_mem时对sp的修改，这能导致二次进入svc吗，从汇编来讲也没有道理 2023-6-14 14:24 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 99 楼 mb_eubdckcw proot 修改svc返回值依赖于tracee->restart_how = PTRACE_SYSCALL;等待下一次syscall exit stop，这也是linux文档里写的用法。至于pr ... 你可以看看他seccomp.c里面的那个过滤after, 设计那块 2023-6-14 15:01 0
mb_eubdckcw 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 1 关注私信	mb_eubdckcw 100 楼珍惜Any 你可以看看他seccomp.c里面的那个过滤after, 设计那块 BPF_STMT(BPF_RET + BPF_K, SECCOMP_RET_TRACE + flag) seccomp.c after的逻辑就是这里吧，需要修改返回值的svc此处flag = FILTER_SYSEXIT，在触发enter stop时获取flag并判断是否需要exit stop，需要则tracee->restart_how = PTRACE_SYSCALL;。或许我们看的不是同一个版本吗 2023-6-15 11:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

珍惜Any

发帖

396

回帖

230

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (108) ◀ 1 2 3 4 5 ▶
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 76 楼不是这么用的。cmake支持asm 直接导入.S文件就可以了 ...... 2023-1-16 23:46 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 77 楼珍惜Any 不是这么用的。cmake支持asm 直接导入.S文件就可以了 ...... 可是32位的我这样用就没问题呀 2023-1-17 11:41 0
不吃早饭雪币： 29 活跃值： (5857) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 184 粉丝 21 关注私信	不吃早饭 78 楼万里星河可是32位的我这样用就没问题呀[em_5] 标注一下naked函数，编译器自动生成的入口部分破坏了上下文 2023-1-17 11:48 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 79 楼不吃早饭标注一下naked函数，编译器自动生成的入口部分破坏了上下文嗯标注了naked还是有个坑就是不支持不定长参数目前这样可以用但是感觉不够优雅 2023-1-17 18:05 0
不吃早饭雪币： 29 活跃值： (5857) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 184 粉丝 21 关注私信	不吃早饭 80 楼万里星河嗯标注了naked还是有个坑就是不支持不定长参数目前这样可以用但是感觉不够优雅那你为什么不试试把它定义成变长函数？ 2023-1-17 19:15 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 81 楼创建一个.s文件，按照我这样写。 2023-1-17 23:05 0
xxRea 雪币： 120 活跃值： (1597) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 148 粉丝 1 关注私信	xxRea 82 楼 mark 2023-1-17 23:07 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 83 楼不吃早饭那你为什么不试试把它定义成变长函数？变长参数始终不行不知为啥但是也不是完全不行第一次的opnat的系统调用正常紧接着的read系统调用出的问题把参数都写出来的版本就没问题最后于 2023-1-18 13:48 被万里星河编辑，原因： 2023-1-18 13:32 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 84 楼珍惜Any 创建一个.s文件，按照我这样写。报未定义的错误应该是汇编文件没在cmakeLists.txt里配置好但百度了一圈也没看到配置方法 2023-1-18 13:37 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 85 楼需要加一下ams支持，这个我在课程都讲过了，v296488320 2023-1-18 20:33 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 86 楼我看你源码里面没有这个头文件啊，你需要创建一个头文件，.....看我上面图片 2023-1-18 20:34 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 87 楼珍惜Any 我看你源码里面没有这个头文件啊，你需要创建一个头文件，.....看我上面图片好的我明白了感谢大佬 2023-1-19 09:23 0
樊辉雪币： 71 活跃值： (1414) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 152 粉丝 1 关注私信	樊辉 88 楼珍惜Any 创建一个.s文件，按照我这样写。大佬，怎么样才能hook execve("ps",...) 过滤掉ps输出的部分内容？ 2023-2-22 23:03 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 89 楼我这个文章写的很详细了，你可以在执行execve之前先生成一份文件，然后把参数换成cat你的文件 2023-2-23 10:18 0
mb_ggnlrzcs 雪币： 225 活跃值： (271) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 1 关注私信	mb_ggnlrzcs 90 楼 666,mark 一下 2023-2-23 11:37 0
樊辉雪币： 71 活跃值： (1414) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 152 粉丝 1 关注私信	樊辉 91 楼珍惜Any 我这个文章写的很详细了，你可以在执行execve之前先生成一份文件，然后把参数换成cat你的文件好思路，谢谢大佬 2023-2-23 15:50 0
樊辉雪币： 71 活跃值： (1414) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 152 粉丝 1 关注私信	樊辉 92 楼珍惜Any 我这个文章写的很详细了，你可以在执行execve之前先生成一份文件，然后把参数换成cat你的文件再次感谢最后于 2023-2-25 11:36 被樊辉编辑，原因： 2023-2-25 10:15 0
mb_foyotena 雪币： 477 活跃值： (1412) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 304 粉丝 14 关注私信	mb_foyotena 93 楼有没有开箱即用的tool啊 2023-3-10 18:03 0
Andy_877594 雪币： 404 活跃值： (959) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 11 粉丝 3 关注私信	Andy_877594 94 楼 mark 2023-3-12 22:47 0
憨豆爆发雪币： 207 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 22 粉丝 10 关注私信	憨豆爆发 95 楼 tql 2023-3-20 13:04 0
万里星河雪币： 116 活跃值： (1012) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 505 粉丝 3 关注私信	万里星河 96 楼 mark 2023-6-7 19:45 0
winte 雪币： 18 活跃值： (71) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	winte 97 楼某些国产手机也是这样禁用了hook软件签名 2023-6-7 22:38 0
mb_eubdckcw 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 1 关注私信	mb_eubdckcw 98 楼 proot 修改svc返回值依赖于tracee->restart_how = PTRACE_SYSCALL;等待下一次syscall exit stop，这也是linux文档里写的用法。至于proot修改sp简单看了一下，只是为了恢复alloc_mem时对sp的修改，这能导致二次进入svc吗，从汇编来讲也没有道理 2023-6-14 14:24 0
珍惜Any 雪币： 3443 活跃值： (14163) 能力值： ( LV9，RANK：230 ) 在线值：发帖 30 回帖 396 粉丝 1267 关注私信	珍惜Any 3 99 楼 mb_eubdckcw proot 修改svc返回值依赖于tracee->restart_how = PTRACE_SYSCALL;等待下一次syscall exit stop，这也是linux文档里写的用法。至于pr ... 你可以看看他seccomp.c里面的那个过滤after, 设计那块 2023-6-14 15:01 0
mb_eubdckcw 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 1 关注私信	mb_eubdckcw 100 楼珍惜Any 你可以看看他seccomp.c里面的那个过滤after, 设计那块 BPF_STMT(BPF_RET + BPF_K, SECCOMP_RET_TRACE + flag) seccomp.c after的逻辑就是这里吧，需要修改返回值的svc此处flag = FILTER_SYSEXIT，在触发enter stop时获取flag并判断是否需要exit stop，需要则tracee->restart_how = PTRACE_SYSCALL;。或许我们看的不是同一个版本吗 2023-6-15 11:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复