seccomp如何处理ptrace事件

Question

我正在使用seccomp筛选器来限制进程进行的系统调用。 最多可以使用系统调用白名单来允许和禁止系统调用。 我坚持使用seccomp规则生成的ptrace事件的概念。 例如，我可以禁止open但是我想在open系统调用时生成ptrace事件，以便可以确定进程是否可以打开该文件。 我的具体问题是如何捕获seccomp生成的ptrace事件？ 任何帮助或参考将是极大的祝福。

我以谦虚的身份谷歌搜索，但没有找到任何帮助和运行示例。

Answer 1

您需要一个单独的程序来跟踪下级。 该跟踪器应调用

    ptrace(PTRACE_SETOPTIONS, tracee_pid, 0, PTRACE_O_TRACESECCOMP);

请求通知并致电

    waitpid(tracee_pid, &status, __WALL);

被通知。 当waitpid返回时，分析status并通过以下方式检索通知

    unsigned long data;
    ptrace(PTRACE_GETEVENTMSG, tracee_pid, 0, &data);