-
-
[原创] 60秒学会用eBPF-BCC hook系统调用 ( 2 ) hook安卓所有syscall
-
发表于: 2022-11-15 20:39
-
.
.
查看手机内核对BPF支持情况
手机为Pixel 6 / Kernel 5.10,
需要的内核功能默认已打开,开箱即用.
.
.
.
下载eadb和debianfs-arm64-full.tar.gz
https://github.com/tiann/eadb/releases
.
.
通过eadb安装debian环境
eadb是对adeb的重新实现(rust重写的),
eadb的作用是可以给Android安装一个完整健全的arm debian环境.
(注意:配置ssh密钥的过程这里略过,可通过Magisk模块完成.)
.
.
像平时在ubuntu上那样布置eBPF-BCC的常规过程,
在手机里中来一遍, 没什么不一样的.
.
.
编译安装后, 运行helloworld测试
可以跑的话,
到这就算成功了,
缺陷是还没有IDE,
不方便开发.
.
.
安装proxychains
被墙的话,在手机Deabian里git和wget比较慢,
还是要在手机Debian里配置proxychains之类的代理.
.
.
安装pip
.
.
目的
有了这个步骤, 就可以不用eadb了,
后面可以直接拿vscode ssh登录到手机的Debian上.
.
.
在手机Debian中执行以下操作,配置ssh
.
.
sshd_config的详细配置
.
.
修改Debian的root密码
需要重新修改Debian root密码,登ssh时需要.
.
.
PC客户端上配置一下私钥,然后连接测试
.
.
安装vscode ssh插件
.
.
客户端ssh配置
.
.
连接后,可访问debian服务端上的文件,这个就是资源管理器
.
.
打开bash
.
.
安装Remote Development插件, 即远程开发插件
.
.
安装python插件
.
.
如果要debug启动python脚本, 想传递参数的话, 需要配置一个启动文件.
.
.
配置中,你可能还需要补充一下环境变量
.
.
最后用这个配置文件,调试启动python脚本.
.
.
项目推荐
通过maiyao1988/ebpf-plugin项目,
可一键一次性的HOOK全部syscall.
代码逻辑清晰,
可根据需求自由修改.
(本文只关注eBPF亮点,无痕hook系统调用)
.
.
项目地址
https://github.com/maiyao1988/ebpf-plugin
.
.
在手机Debian上运行一下, 看看效果
.
uname -a
uname -a
zcat /proc/config.gz | grep PROBE
zcat /proc/config.gz | grep PROBE
./eadb --ssh root@192.168.x.x -p xxxx prepare -a debianfs-arm64-full.tar.gz
./eadb --ssh root@192.168.x.x -p xxxx prepare -a debianfs-arm64-full.tar.gz
./eadb --ssh root@192.168.x.x shell
./eadb --ssh root@192.168.x.x shell
git clone https://github.com/iovisor/bcc.git
mkdir bcc/build; cd bcc/build
cmake ..makesudo make installcmake -DPYTHON_CMD=python3 .. # build python3 binding
pushd src/python/
makesudo make installpopdgit clone https://github.com/iovisor/bcc.git
mkdir bcc/build; cd bcc/build
cmake ..makesudo make installcmake -DPYTHON_CMD=python3 .. # build python3 binding
pushd src/python/
makesudo make installpopdcd /bcc/examples
python hello_world.pycd /bcc/examples
python hello_world.pyapt-get install proxychains
vim /etc/proxychains.conf
# ---- 配置proxychains.conf ----socks5 192.168.?.? 12345 # 填写代理ip端口
# ---- 配置proxychains.conf ----apt-get install proxychains
vim /etc/proxychains.conf
# ---- 配置proxychains.conf ----socks5 192.168.?.? 12345 # 填写代理ip端口
# ---- 配置proxychains.conf ----proxychains apt-get install python3-pip
# 或者proxychains wget https://bootstrap.pypa.io/get-pip.py
proxychains python get-pip.py
proxychains apt-get install python3-pip
# 或者proxychains wget https://bootstrap.pypa.io/get-pip.py
proxychains python get-pip.py
apt-get update
apt-get install ssh
vim /etc/ssh/sshd_config # 编辑详细服务配置
vim id_rsa.pub # 手动粘贴导入公钥
cat id_rsa.pub >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
chmod 700 ~/.ssh
service ssh restart # 手机每次重启后,第一次进入debian,可能都需要手动启动下ssh服务
apt-get update
apt-get install ssh
vim /etc/ssh/sshd_config # 编辑详细服务配置
vim id_rsa.pub # 手动粘贴导入公钥
cat id_rsa.pub >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
chmod 700 ~/.ssh
service ssh restart # 手机每次重启后,第一次进入debian,可能都需要手动启动下ssh服务
vim /etc/ssh/sshd_config
AuthorizedKeysFile .ssh/authorized_keys
Port 11111
PubkeyAuthentication yesPermitRootLogin yesPasswordAuthentication yesGSSAPIAuthentication no # 加速SSH
UseDNS no # 加速SSH
vim /etc/ssh/sshd_config
AuthorizedKeysFile .ssh/authorized_keys
|
|
|---|---|
|
|
无数个60s已过去，我还没学会
|
|
|
|
|
|
|
|
|
看到一个渗透培训BPF讲了46节课, 那个绝对够了. |
|
|
给菠菜老师打CALL！
|
|
|
|
|
|
|
|
|
这60s估计具有普朗克意义下的相对论效应
|
|
|
|
