-
-
[原创 ebpf在开发板使用及绕过root检测
-
发表于: 2024-7-2 10:56
-
本文作者：uiop@360SRC
看到越来越多使用eBPF的文章，奈何手边没有高版本的手机，只能使用开发版进行体验，踩了许多坑之后记录一下简单使用过程。
一、ebpf简介
eBPF 是一项革命性的技术，起源于 Linux 内核，可以在操作系统的内核中运行沙盒程序。它被用来安全和有效地扩展内核的功能，而不需要改变内核的源代码或加载内核模块。
eBPF 通过允许在操作系统内运行沙盒程序，应用程序开发人员可以在运行时，可编程地向操作系统动态添加额外的功能。然后，操作系统保证安全和执行效率，就像在即时编译（JIT）编译器和验证引擎的帮助下进行本地编译一样。eBPF 程序在内核版本之间是可移植的，并且可以自动更新，从而避免了工作负载中断和节点重启。
ebpf工作原理
eBPF 程序在事件触发时由内核运行，所以可以被看作是一种函数挂钩或事件驱动的编程形式。从用户空间运行按需 eBPF 程序的价值较小，因为所有的按需用户调用已经通过正常的非 VM 内核 API 调用（“syscalls”）来处理，这里 VM 字节码带来的价值很小。事件可由 kprobes/uprobes、tracepoints、dtrace probes、socket 等产生。这允许在内核和用户进程的指令中钩住（hook）和检查任何函数的内存、拦截文件操作、检查特定的网络数据包等等。
运行 eBPF 程序的步骤
- 用户空间将字节码和程序类型一起发送到内核，程序类型决定了可以访问的内核区域（主要是 BPF 辅助函数的各种子集）。
- 内核在字节码上运行验证器，以确保程序可以安全运行（kernel/bpf/verifier.c）。
- 内核将字节码编译为本地代码，并将其插入（或附加到）指定的代码位置。（如果启用了 JIT 功能，字节码编译为本地代码）。
- 插入的代码将数据写入环形缓冲区或通用键值 map。
- 用户空间从共享 map 或环形缓冲区中读取结果值。
eBPF 程序的高层次组件
- 后端：这是在内核中加载和运行的 eBPF 字节码。它将数据写入内核 map 和环形缓冲区的数据结构中。
- 加载器：它将字节码后端加载到内核中。通常情况下，当加载器进程终止时，字节码会被内核自动卸载。
- 前端：从数据结构中读取数据（由后端写入）并将其显示给用户。
- 数据结构：这些是后端和前端之间的通信手段。它们是由内核管理的 map 和环形缓冲区，可以通过文件描述符访问，并需要在后端被加载之前创建。它们会持续存在，直到没有更多的后端或前端进行读写操作。
二、为什么选择ebpf
Linux内核的主要目的是抽象硬件或虚拟硬件并提供一致的API（系统调用），允许应用程序运行和共享资源。为了实现这一目标，需要维护大量的子系统和层来分配这些职责。每个子系统通常允许某种级别的配置来满足用户的不同需求。如果无法配置所需的行为，则需要更改内核，从历史上看，留下两个选项：
原生支持
- 更改内核源代码并说服 Linux 内核社区需要进行更改。
- 等待数年新内核版本才能成为商品。
内核模块
- 编写内核模块
- 定期修复它，因为每个内核版本都可能会破坏它
- 由于缺乏安全边界而存在损坏 Linux 内核的风险
借助 eBPF，可以使用一个新选项，允许对 Linux 内核的行为进行重新编程，而无需更改内核源代码或加载内核模块。在很多方面，这与 JavaScript 和其他脚本语言如何解锁系统的演变非常相似，而系统的改变变得困难或昂贵。
三、开发版上环境搭建
环境搭建
使用rk3588开发版armbian系统+redroid作为开发环境
按照官方wiki刷好最新的armbian系统
https://wiki.radxa.com/Rock5/5b/getting\_started
在armbian上使用redroid（新版armbian内核直接可以使用redroid了,也可以直接使用cuttlefish）
安装docker
1 2 3 4 5 6 7 8 9 | $ sudo apt-get update$ sudo apt-get upgrade$ curl -fsSL test.docker.com -o get-docker.sh && sh get-docker.sh$ sudo usermod -aG docker $USER$ docker run -itd --rm --privileged \ --pull always \ -v ~/data:/data \ -p 5555:5555 \ redroid/redroid:12.0.0-arm64 |
编译支持ebpf功能的内核（如果是ubuntu可以按照官方教程编译）
下载依赖包
1 2 | $ sudo apt-get update$ sudo apt-get install -y git device-tree-compiler libncurses5 libncurses5-dev build-essential libssl-dev mtools bc python3 dosfstools bison flex rsync u-boot-tools make |
安装python2
1 2 3 4 | $ cd /usr/local/lib/$ sudo wget https://www.python.org/ftp/python/2.7/Python-2.7.tgz$ sudo tar -zxvf Python-2.7.tgz$ sudo ln -snf /usr/local/lib/Python-2.7/python /usr/bin/python2 |
下载内核并修改支持ebpf配置
1 2 3 4 5 6 7 8 | $ sudo apt install linux-source-5.10.110-legacy-rockchip-rk3588$ mkdir kernel$ cd kernel/$ tar -xf /usr/src/linux-source-5.10.110-rockchip-rk3588.tar.xz$ sudo xz -d /usr/src/linux-rockchip-rk3588-legacy_5.10.110_23.02.2_config.xz$ cp /usr/src/linux-rockchip-rk3588-legacy_5.10.110_23.02.2_config .config$ make mrproper$ nano .config |
修改以下配置
1 2 3 4 5 | CONFIG_IKHEADERS=yCONFIG_ASHMEM=yCONFIG_ANDROID_BINDERFS=yCONFIG_KPROBES=yCONFIG_KRETPROBES=y |
开始编译
1 2 3 4 5 6 | $ make -j8$ sudo make modules_install$ sudo make install$ cd /boot/$ sudo mv Image Image.old$ sudo ln -s vmlinuz-5.10.110 Image |
最后重启即可
报错解决
如果出现warning错误而导致的error, forbidden warning
kernel/scripts/gcc-wrapper.py
四、ebpf开发环境搭建
1. 切换docker的bridge网络模式为macvlan
创建macvlan注意修改网段及网卡名为自己的
1 | $ docker network create -d macvlan --subnet=192.168.0.0/24 --gateway=192.168.0.1 -o parent=enP4p65s0 -o macvlan_mode=bridge mymacvlan |
重新分配ip并启动redroid
1 2 3 4 5 6 | $ docker run --net=mymacvlan --ip=192.168.0.100 -itd --rm --privileged \ -v ~/data:/data \ redroid/redroid:12.0.0-latest \ androidboot.redroid_width=1080 \ androidboot.redroid_height=1920 \ androidboot.redroid_dpi=480 |
2. 根据以下两篇文章完成bcc开发环境搭建
https://blog.seeflower.dev/archives/138/
https://blog.seeflower.dev/archives/111/
修改配置不同处
3. 最后可以获取这样的效果
五、简单体验bcc
1. 执行execsnoop来查看rootbeer的检测点
2. 编写ebpf程序，并绕过root检测
简单看来直接在exec基础上修改系统调用的参数即可绕过检测
参考：
https://blog.seeflower.dev/category/eBPF/
https://ebpf.io/zh-cn/what-is-ebpf/
https://github.com/tiann/bcc/tree/master/tools
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
