Bad BPF项目深度解析探索7个恶意eBPF程序的攻击原理与防御策略【免费下载链接】bad-bpfA collection of eBPF programs demonstrating bad behavior, presented at DEF CON 29项目地址: https://gitcode.com/gh_mirrors/ba/bad-bpfBad BPF是一个恶意eBPF程序集合利用eBPF在用户态程序和内核之间读写用户数据的能力实施攻击。本文将深入剖析该项目中的7个典型恶意eBPF程序揭示其攻击原理并提供针对性的防御策略帮助系统管理员和安全爱好者有效防范eBPF带来的安全威胁。一、eBPF技术与安全风险概述eBPFExtended Berkeley Packet Filter技术允许在Linux内核中运行沙箱化的程序无需重新编译内核或加载内核模块。这种灵活性使其在网络监控、性能分析等领域得到广泛应用但同时也被恶意攻击者利用成为新型攻击向量。Bad BPF项目展示了eBPF如何被滥用来实现进程隐藏、系统调用劫持、权限提升等恶意行为。1.1 eBPF攻击的核心优势隐蔽性强eBPF程序运行在内核空间传统用户态检测工具难以发现权限高可直接访问内核数据结构和系统调用持久性好部分恶意eBPF程序可实现用户态加载器退出后仍在后台运行二、7个恶意eBPF程序的攻击原理2.1 BPF-Dos阻止调试的拒绝服务攻击BPF-Dos通过向所有尝试使用ptrace系统调用的程序发送SIG_KILL信号阻止调试工具如strace正常工作。攻击者可通过以下命令运行sudo ./bpfdos测试时运行strace /bin/whoami会被立即终止干扰安全人员对可疑进程的调试分析。2.2 Exec-Hijack进程执行流劫持该程序拦截所有execve系统调用将进程创建请求重定向到/a文件。攻击步骤如下编译并复制劫持程序到根目录make sudo cp ./bin/hijackee /a sudo chmod ugorx /a运行劫持程序sudo ./bin/exechijack所有新进程创建请求都会被重定向到/a程序实现对系统执行流的完全控制。2.3 Pid-Hide进程隐藏技术Pid-Hide通过挂钩getdents64系统调用从/proc目录中移除指定PID对应的文件夹使ps等工具无法发现目标进程sudo ./pidhide --pid-to-hide 2222这种技术常被恶意软件用于隐藏自身进程逃避系统管理员的检测。2.4 Sudo-Add权限提升攻击Sudo-Add通过拦截sudo读取/etc/sudoers文件的操作动态修改文件内容为低权限用户添加sudo权限sudo ./sudoadd --username lowpriv-user攻击原理是在sudo读取文件时将第一行替换为lowpriv-user ALL(ALL:ALL) NOPASSWD:ALL #使sudo误认为该用户拥有无密码sudo权限而实际文件内容并未改变极具隐蔽性。2.5 Write-Blocker数据写入拦截Write-Blocker拦截指定PID进程的所有写操作返回虚假的写入成功信息实际不写入任何数据sudo ./writeblocker --pid 508该程序只拦截文件描述符大于2的写操作保留标准输入输出使攻击更难被发现。例如拦截rsyslogd进程会导致ssh登录日志无法写入/var/log/auth.log破坏审计追踪能力。2.6 Text-Replace动态文本替换Text-Replace可实时替换指定文件中的文本内容语法如下sudo ./textreplace --filename /path/to/file --input foo --replace bar典型恶意用途包括隐藏内核模块./textreplace -f /proc/modules -i joydev -r cryptd伪造MAC地址./textreplace -f /sys/class/net/eth0/address -i 00:15:5d:01:ca:05 -r 00:00:00:00:00:00注意输入和替换文本必须长度相同避免引入空字符。2.7 Text-Replace2高级动态文本替换Text-Replace2在Text-Replace基础上增加两项关键功能运行时配置修改通过eBPF Maps动态更新目标文件和替换规则分离运行模式用户态加载器退出后eBPF程序仍可在后台运行分离运行方法sudo mount bpffs -t bpf /sys/fs/bpf ./textreplace2 -f /proc/modules -i joydev -r cryptd --detach停止程序需删除BPF链接文件sudo rm -r /sys/fs/bpf/textreplace三、eBPF攻击的防御策略3.1 内核版本与配置加固使用Linux内核5.8支持eBPF验证器增强功能启用内核参数kernel.unprivileged_bpf_disabled1禁止非特权用户加载eBPF程序限制/sys/kernel/btf/vmlinux访问权限防止攻击者获取内核类型信息3.2 运行时监控与检测定期使用bpftool检查加载的eBPF程序bpftool prog list监控/sys/fs/bpf目录检测异常BPF链接文件通过内核跟踪点监控eBPF程序加载事件3.3 权限控制与审计严格限制CAP_BPF和CAP_PERFMON等相关 capabilities实施最小权限原则避免不必要的root权限进程启用内核审计子系统记录eBPF相关操作3.4 工具与技术防御使用eBPF-based安全工具如Falco、Tracee监控异常eBPF活动部署内核运行时保护LKRG等检测异常系统调用钩子定期更新系统和安全工具获取最新eBPF漏洞补丁四、总结与展望Bad BPF项目展示了eBPF技术被恶意利用的多种可能性这些攻击手法利用了eBPF的内核级访问能力和隐蔽性特点对系统安全构成严重威胁。防御eBPF攻击需要从内核配置、权限控制、运行时监控等多方面入手构建多层次防御体系。随着eBPF技术的不断发展其安全边界也在不断演变。安全社区需要持续关注eBPF安全问题开发更有效的检测和防护工具确保这一强大技术在安全可控的前提下发挥其优势。对于系统管理员而言了解eBPF攻击原理和防御策略是保护系统免受新型攻击的关键一步。参考资料项目源码src/构建脚本src/Makefile工具集tools/程序列表src/bpfdos.c、src/exechijack.c、src/pidhide.c等【免费下载链接】bad-bpfA collection of eBPF programs demonstrating bad behavior, presented at DEF CON 29项目地址: https://gitcode.com/gh_mirrors/ba/bad-bpf创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考