如何用ebpf終止進程？

Question

我想從 bpf function (execve) 內部將 send_sig_info 發送到進程，但它不會加載。 我知道自 kernel 5.3 以來他們添加了一個助手 function，但我正在使用較低的 kernel。有沒有辦法從 bpf function 中終止進程？

Answer 1

我相信您指的是在bpf_send_signal v5.3 中引入的 bpf_send_signal 助手。 據我所知，在引入該助手之前，無法從 BPF 程序中終止進程。

如果您試圖從execve(2)執行中終止當前進程，您可以改為依賴 seccomp-bpf。 請注意，由於 seccomp-bpf 依賴於 cBPF 而不是 eBPF，因此您將無法過濾 arguments（故意的，因為存在 TOCTTOU 攻擊的風險）。