seccomp如何處理ptrace事件

Question

我正在使用seccomp篩選器來限制進程進行的系統調用。 最多可以使用系統調用白名單來允許和禁止系統調用。 我堅持使用seccomp規則生成的ptrace事件的概念。 例如，我可以禁止open但是我想在open系統調用時生成ptrace事件，以便可以確定進程是否可以打開該文件。 我的具體問題是如何捕獲seccomp生成的ptrace事件？ 任何幫助或參考將是極大的祝福。

我以謙虛的身份谷歌搜索，但沒有找到任何幫助和運行示例。

Answer 1

您需要一個單獨的程序來跟蹤下級。 該跟蹤器應調用

    ptrace(PTRACE_SETOPTIONS, tracee_pid, 0, PTRACE_O_TRACESECCOMP);

請求通知並致電

    waitpid(tracee_pid, &status, __WALL);

被通知。 當waitpid返回時，分析status並通過以下方式檢索通知

    unsigned long data;
    ptrace(PTRACE_GETEVENTMSG, tracee_pid, 0, &data);