Android平台bpftrace实践
2023-4-24 21:14:21 Author: 哆啦安全(查看原文) 阅读量:72 收藏

Android上的ebpf已经成为现实

  • 维术大佬修改的debian方案挺好,可以直接在android跑bcc、bpftrace等基于ebpf封装的工具

  • 脸哥实践出真知下的 go + c 混合开发ebpf程序的方案挺好,开发环境简单了,运行也不再需要debian环境依赖了,调用栈也有了unix domaian socket和load so的方案,属实方便了许多

    • stackplz 和 estrace 属实挺好,学到很多,脸哥和各位大佬牛逼

  • android上的ebpf实践感觉大多还是基于syscall监测的需求

  • 之前看了一些bpftrace的文章感觉用它来开发类似syscall的需求应该是更快的

    • 需依赖debian环境

    • 脚本化,参数解析之类的简单,很简单,非常简单

    • 当然了,能力不如bcc下的程序和脸哥他们用的方案强,主要是一些api来到bpftrace这边不知道是啥,当然也可能是我的问题,没有发掘出它的实力

    • 接下来搞个简单的bpftrace demo来仿写一丢丢的estrace

设备环境:

推荐钞能力解决,直接上高内核版本设备:小米12内核:5.10.101-android12-9-00005-ga829d48e78bd-ab9206161(原版未改)

开发环境:

eadb debian + vscode remote
当 Xiaomi 12 遇到 eBPF:https://mp.weixin.qq.com/s/h_ixxr1WZ8VqYt-zMrwSDAeBPF on Android之bcc环境准备——eadb简版:https://blog.seeflower.dev/archives/138/60秒学会用eBPF-BCC hook系统调用 ( 2 ) hook安卓所有syscall:https://bbs.kanxue.com/thread-275176.htm
文章看下来并实践的话,你应该已经vscode可以远程开发和跑bcc脚本了

Android Debian bpftrace环境初始化

进入debian环境:/data/eadb/run /data/eadb/debian
vi /etc/apt/sources.listdeb http://ftp.cn.debian.org/debian sid main
apt-get updateapt-get install bpftracebpftrace -Vbpftrace v0.17.0

比着estrace上代码

#!/usr/bin/env bpftrace
struct timespec { long tv_sec; /* seconds */ long tv_nsec; /* nanoseconds */ };
BEGIN{ printf("Tracing all system calls... Hit Ctrl-C to end.\n");}

tracepoint:raw_syscalls:sys_enter/uid == $1/{ if (args->id == 221){ // int execve(const char *pathname, char *const argv[], char *const envp[]); printf("comm: %s, nr: %d, ", comm, args->id); printf("execve: path=%s, argv=", str(uptr(args->args[0]))); join(uptr(args->args[1])); }else if (args->id == 281){ // int execveat(int dirfd, const char *pathname, char *const argv[], char *const envp[], int flags); printf("comm: %s, nr: %d, ", comm, args->id); printf("execveat: path=%s, argv=", str(uptr(args->args[1]))); join(uptr(args->args[2])); }else if (args->id == 101){ // int nanosleep(const struct timespec *req, struct timespec *rem); printf("comm: %s, nr: %d, ", comm, args->id); $wait_time = (struct timespec *)uptr(args->args[0]); printf("nanosleep: tv_sec=%ld, tv_nsec=%ld\n", $wait_time->tv_sec, $wait_time->tv_nsec); }else if (args->id == 56){ // int openat(int dirfd, const char *pathname, int flags, mode_t mode); //printf("comm: %s, nr: %d, ", comm, args->id); //printf("openat: path=%s\n", str(uptr(args->args[1]))); @mem["openat", str(uptr(args->args[1]))] = count(); }else if (args->id == 78){ // ssize_t readlinkat(int dirfd, const char *pathname, char *buf, size_t bufsiz); //printf("comm: %s, nr: %d, ", comm, args->id); //printf("readlinkat: path=%s\n", str(uptr(args->args[1]))); @mem["readlinkat", str(uptr(args->args[1]))] = count(); } return;}

代码说明

  • 就搞了一些系统调用号,主要是实践bpftrace的能力,调用号数量不是问题,加就行了,体力活 

    • gpt查下函数原型,比着解析参数就是了

    • 对了,我现在不卖了gpt账号了,买别人的吧

    • https://www.fakabang.com/details/F5DC5860

  • bpftrace的命令行参数解析,比较方便

  • 主要是监测点的参数解析,不论是单个char *还是char *[],解析和输出都非常方便

  • 结构体也是支持的

  • bpf map用起来也是十分的方便,还可以数据统计

  • 总之就是十分的方便

  • 也可以ustack拿到用户空间的调用栈,但好像解析有问题,不能直接显示出具体的文件和偏移,不过感觉问题不大,自己去maps对照下映射文件和偏移也行

  • 修改参数好像有点问题,没找到api,只看到了override

  • 单论syscall监测场景感觉足够了,方便快捷是其他方案无法比拟的

  • 就这样吧

简单跑下代码看看,拿estrace的第一个例子试试

bpftrace开跑:

bpf map用来统计:

bpftrace的开发文档https://github.com/iovisor/bpftrace/blob/master/docs/reference_guide.md

简单实践over

题外话:论如何学好android-ebpf,脸哥已经给了答案


文章来源: http://mp.weixin.qq.com/s?__biz=Mzg2NzUzNzk1Mw==&mid=2247495502&idx=2&sn=a33ad7f919fb295c1721b04234dffe37&chksm=ceb8aa00f9cf231697c094ee4da423e0aca7971f0c85c1bf0483e5da2d2b1326e1bb174bf1d1#rd
如有侵权请联系:admin#unsafe.sh