c - 隐式引用 seccomp
问题描述
问题: 我正在尝试使用 seccomp,但我不明白为什么 gcc 告诉我 seccomp() 函数调用具有隐式声明。
#define _GNU_SOURCE
#include <stddef.h> // offsetof
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <linux/audit.h> // arch
#include <linux/filter.h>
#include <linux/seccomp.h>
#include <sys/prctl.h>
#include <sys/syscall.h> // syscall numbers
struct sock_filter bpfcode[] = {
/* validate the architecture */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, (offsetof(struct seccomp_data, arch))),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, AUDIT_ARCH_X86_64, 0, 7),
/* load syscall number in the accumulator */
BPF_STMT(BPF_LD+BPF_W+BPF_ABS, (offsetof (struct seccomp_data, nr))),
/* check if the syscall number is allowed */
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_nanosleep, 5, 0), // for sleep
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_exit, 4, 0),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_exit_group, 3, 0),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_write, 2, 0),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_read, 1, 0),
BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, SYS_rt_sigreturn, 0, 1),
/* allow the sys call */
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_ALLOW),
BPF_STMT(BPF_RET+BPF_K, SECCOMP_RET_TRAP)
};
struct sock_fprog bpf = {
.len = (unsigned short)( sizeof bpfcode / sizeof bpfcode[0] ),
.filter = bpfcode
};
int main(int argc, char **argv)
{
if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0) == -1) {
printf("prctl no_new_privs\n");
_exit(EXIT_FAILURE);
}
if (seccomp(SECCOMP_SET_MODE_FILTER, 0, &bpf)) {
printf("seccomp");
exit(EXIT_FAILURE);
}
sleep(2);
return 0;
}
警告/错误:这是我尝试编译程序时的 gcc 输出。
s.c: In function ‘main’:
s.c:45:6: warning: implicit declaration of function ‘seccomp’ [-Wimplicit-function-declaration]
if (seccomp(SECCOMP_SET_MODE_FILTER, 0, &bpf)) {
^~~~~~~
/tmp/ccYo4APk.o: In function `main':
s.c:(.text+0x65): undefined reference to `seccomp'
collect2: error: ld returned 1 exit status
问题:我还应该包括什么才能使它工作?
编辑:为什么这有效而第一个无效?
syscall(SYS_seccomp, SECCOMP_SET_MODE_FILTER, 0, &bpf)
解决方案
这是一个已知问题:seccomp 系统调用没有 glibc 包装器。
您可能希望使用 prctl(2)来加载 BPF 程序,原因有两个:
- glibc 包装器可用于 prctl(2)
- seccomp(2) 系统调用仅在 Linux v3.5+ 上可用。
方法如下:
prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &bpf);
推荐阅读
- laravel - 使用迁移重命名laravel中的列
- java - 如何在 Java 中解析这个 JSON?
- spring-boot - 在thymeleaf中单击按钮并调用url时增加会话属性
- mysql - 我必须显示不在“时间卡”表中的记录
- java - 在我的 Android 应用小部件中出现错误
- html - 在多个页面上批量编辑 HTML?
- apache-kafka - 无法在 Hyperledger Fabric 网络中设置 Kaka Orderers:意外的主题级元数据错误:kafka 服务器:复制因子无效
- javascript - 在 FullCalendar 中设置日期时出现弃用警告
- javascript - Slackbot:如何使用松弛通道功能
- python - 在 Python IDE 中使用 pgsql2shp 模块导出 shapefile