asm - سرهم‌سازی (asm - ASSEMBLE)

ceccomp asm [-c WHEN] [-a ARCH] [-f FMT] [TEXT]

سرهم‌سازی (اسمبل کردن) TEXT به RAW. از این زیردستور برای جاسازی قواعد فیلتر دست‌نویس درون کدهای زبان C یا مشاهده کدهای اصلی یک فایل TEXT استفاده کنید.

WHEN

ARCH

FMT

TEXT

لطفاً بخش «مرجع دستور زبان متنی (TEXT GRAMMAR REFERENCE)» را مطالعه کنید تا با نحوه نگارش دستی یک قاعده آشنا شوید. چند نمونه در بخش «مثال‌ها (EXAMPLES)» نمایش داده خواهد شد.

disasm - واسازی (disasm - DISASSEMBLE)

ceccomp disasm [-c WHEN] [-a ARCH] [RAW]

واسازی (دیس‌اسمبل کردن) RAW به TEXT. اگر نتوانستید از طریق trace به فیلتر دسترسی پیدا کنید و مجبور به استخراج دستی فیلتر شدید، از این زیردستور برای مشاهده عملکرد فیلتر استفاده کنید.

WHEN

ARCH

RAW

emu - شبیه‌سازی (emu - EMULATE)

ceccomp emu [-c WHEN] [-a ARCH] [-q] TEXT SYSCALL_NAME/SYSCALL_NR [ARGS[0] ARGS[1] ... ARGS[5] PC]

شبیه‌سازی آنچه اتفاق خواهد افتاد اگر فراخوانی syscall(SYSCALL_NR, ARGS[0], ARGS[1], ..., ARGS[5]) از مقدار PC طبق قواعد شرح‌داده‌شده در TEXT صدا زده شود. از آن برای مشاهده نتیجه بدون نیاز به اجرای واقعی در برنامه یا مواقعی که نمی‌خواهید قاعده فیلتر را به صورت دستی بازرسی کنید استفاده نمایید. این زیردستور می‌تواند برای بررسی خودکار فیلتر به کار رود.

WHEN

SYSCALL_NAME/SYSCALL_NR

ARGS[0-5] and PC

ARCH

TEXT

-q, --quiet

trace - ردگیری فیلتر در زمان اجرا (trace - TRACE FILTER IN RUNTIME)

ceccomp trace [-c WHEN] [-q] [-o FILE] PROGRAM [program-args]
              [-c WHEN] [-q] -p PID [-s]

خط اول فیلترهایی را که PROGRAM در زمان اجرا با ردگیری آن بارگذاری می‌کند ضبط می‌نماید؛ خط دوم فیلترهای seccomp را از PID استخراج می‌کند یا PID را برای ضبط فیلترهای seccomp بعدی ردگیری می‌نماید؛ پس از واکشی فیلترها، آن‌ها را در قالب TEXT چاپ می‌کند. شما فقط می‌توانید یکی از دو ساختار فوق را انتخاب کنید. اگر اجرای برنامه ساده‌ترین راه برای واکشی فیلترهای bpf است یا برنامه‌ای با فیلترهای seccomp نصب‌شده منتظر ورودی است، از این حالت استفاده کنید.

WHEN

FILE

PROGRAM

PID

-s, --seize

-q, --quiet

probe - آزمون فوری فراخوانی‌های سیستمی متداول (probe - TEST COMMON SYSCALLS INSTANTLY)

ceccomp probe [-c WHEN] [-o FILE] [-q] PROGRAM [program-args]

اجرای PROGRAM همراه با program-args برای ضبط نخستین (FIRST) فیلتر seccomp و سپس پایان دادن (kill) به همه فرزندان. از این زیردستور زمانی استفاده کنید که به یک بررسی سریع روی یک برنامه نیاز دارید و می‌خواهید مشکلات احتمالی قواعد seccomp را شناسایی کنید.

تمام توضیحات آرگومان‌ها در بخش «trace - ردگیری فیلتر در زمان اجرا (trace - TRACE FILTER IN RUNTIME)» آمده است.

خروجی این زیردستور نتیجه شبیه‌سازی فراخوانی‌های سیستمی رایج مانند execve، open و غیره است. اگر خود فیلتر قادر به مسدودسازی فراخوانی‌های سیستمی نباشد، در یک نگاه متوجه آن خواهید شد.

خروجی نمونه برای این زیردستور در زیر آورده شده است، نمونه‌های با جزئیات بیشتر در بخش «مثال‌ها (EXAMPLES)» یافت می‌شوند.

open      -> ALLOW
read      -> ALLOW
write     -> ALLOW
execve    -> KILL
execveat  -> KILL
mmap      -> ALLOW
mprotect  -> ALLOW
openat    -> ALLOW
sendfile  -> ALLOW
ptrace    -> ERRNO(1)
fork      -> ALLOW

توضیحات و برچسب‌ها (Comment and Label)

دستور ceccomp disasm موارد زیادی را نمایش می‌دهد، اما برخی از آن‌ها برای asm اختیاری هستند.

#Label  CODE  JT   JF      K
#---------------------------------
 L0001: 0x06 0x00 0x00 0x7fff0000 return ALLOW
#---------------------------------

هر متنی پس از # توسط asm مانند برخی زبان‌های اسکریپت‌نویسی نادیده گرفته می‌شود.

خطوط خالی پذیرفته می‌شوند.

تعریف برچسب (Label) یک شناسه در ابتدای خط است که به : ختم می‌شود، مانند L0001. شناسه رشته‌ای است که با یک حرف الفبا شروع شده و فقط شامل نویسه‌های الفبایی-عددی و خط زیر (_) است. برچسب تنها زمانی ضروری است که مقصد یک goto باشد؛ این برچسب‌های اضافی افزوده‌شده توسط disasm صرفاً برای خوانایی هستند. برای مثال در if ($A == 0) goto somewhere، عبارت somewhere یک برچسب است و باید پس از آن دستور اعلان شود. تعریف برچسب می‌تواند یک خط جداگانه را اشغال کند یا در ابتدای همان خط عبارت دستوری قرار گیرد.

مقادیر CODE، JT، JF و K تولیدشده توسط disasm به وسیله asm نادیده گرفته می‌شوند؛ asm تنها دستور مؤثر پس از K را پردازش می‌کند.

line  CODE  JT   JF      K
=================================
0000: 0x06 0x00 0x00 0x7fff0000  return ALLOW

انتساب (Assignment)

ثبات A می‌تواند مستقیماً با ویژگی‌های seccomp تنظیم شود؛ اما به دلیل محدودیت هسته، ثبات X نمی‌تواند مستقیماً با ویژگی‌های seccomp مقداردهی شود.

$A = $arch
$A = $syscall_nr

برای انتساب فیلدهای ۶۴ بیتی به ثبات A، پیشوندهای low_ یا high_ مورد نیاز هستند.

$A = $low_pc
$A = $high_pc
$A = $low_args[0]
$A = $high_args[0]
...
$A = $low_args[5]
$A = $high_args[5]

یک ویژگی ویژه sizeof(struct seccomp_data) است که می‌تواند مستقیماً به A یا X اختصاص یابد.

$A = $scmp_data_len
$X = $scmp_data_len

حافظه موقت ۳۲ بیتی است و برای دسترسی به آن می‌توانید از اندیس هگزادسیمال یا ده‌دهی استفاده کنید. هر دو ثبات A و X قابل انتساب هستند. اختصاص مقادیر بلافصل به A یا X در صورت تعیین صحیح مبنا با "0x" یا "0b"، هر قالبی از اعداد را می‌پذیرد.

$X = $mem[0]
$A = $mem[0xf]
$A = $mem[15] # both hex and dec index are OK
$A = 0
$X = 0x3b
$A = 0b1111
$A = 0333

شما همچنین می‌توانید X را به A یا برعکس اختصاص دهید. اختصاص X یا A به حافظه موقت نیز کاملاً مجاز است.

$A = $X
$X = $A
$mem[3] = $X
$mem[0x4] = $A

عملیات حسابی (Arithmetic Operations)

عملیات‌های گوناگونی را می‌توان روی ثبات A اعمال کرد.

$A += 30
$A -= 4
$A *= 9
$A /= 1
$A &= 7
$A >>= 6

مقدار سمت راست عملگر می‌تواند X باشد.

$A &= $X
$A |= $X
$A ^= $X
$A <<= $X

همچنین راهی برای منفی کردن مقدار A وجود دارد.

$A = -$A

پرش به جلو در صورت ... (Jump Downwards If ...)

پرش بدون شرط:

goto L3

پرش شرطی:

if ($A == execve) goto L3
if ($A != 1234) goto L4
if ($A & $X) goto L5
if !($A & 7) goto L6
if ($A <= $X) goto L7

در صورت درستی پرش به ... در صورت نادرستی پرش به ...:

if ($A > $X) goto L3, else goto L4
if ($A >= 4567) goto L5, else goto L6

تنها در شرط‌ها، می‌توانید عدد را با نام فراخوانی سیستمی یا نام معماری جایگزین کنید. در مثال بالا، 0x3b با execve جایگزین شده است. تمام نام‌های فراخوانی سیستمی به شماره فراخوانی سیستمی متناظر در معماری انتخابی شما ترجمه خواهند شد. اگر می‌خواهید نام یک فراخوانی سیستمی را در یک معماری بیگانه (مغایر با معماری انتخابی شما) حل کنید، لطفاً نام معماری و یک نقطه را به ابتدای آن اضافه کنید. برای نمونه، اگر معماری شما x86_64 است و در حال نگارش قواعد برای aarch64 هستید، بدین صورت بنویسید:

if ($A == aarch64.read) goto 5

توجه داشته باشید که اگر معماری را با -a aarch64 به صورت دستی روی aarch64 تنظیم کنید، می‌توانید aarch64. را در دستور ننویسید.

کد بازگشتی (Return Code)

مقدار بازگشتی ثبات A:

return $A

یا بازگرداندن یک مقدار بلافصل، همراه با فیلد اضافی در (). اقداماتی از جمله TRACE، TRAP و ERRNO یک فیلد اضافی را می‌پذیرند؛ در صورت عدم استفاده از ()، به صورت action(0) در نظر گرفته می‌شوند.

return 0x13371337
return KILL
return KILL_PROCESS
return TRAP(123)
return ERRNO(0)
return TRACE
return TRACE(3)
return LOG
return NOTIFY

مثال کوتاه (Short Example)

متن TEXT زیر برای اسمبلر معتبر است و فراخوانی‌های سیستمی execve و execveat را برای معماری amd64 مسدود می‌کند:

$A = $syscall_nr
if ($A == execve) goto forbid
if ($A == execveat) goto forbid
return ALLOW
forbid: return KILL