vArmor-eBPF 功能测试

# 确认内核版本高于 5.7$ cat /boot/config-$(uname -r) | grep BPF_LSMCONFIG_BPF_LSM=y
# 内核是否支持 BPF LSM$ cat /sys/kernel/security/lsmlockdown,capability,yama,apparmor,bpfroot
# 如果上条命令结果不包含 bpf 选项，可以补充GRUB_CMDLINE_LINUX的值$ vim /etc/default/grub  GRUB_CMDLINE_LINUX="lsm=ndlock,lockdown,yama,integrity,apparmor,bpf"
# 更新 grub 配置并重启$ update-grub2$ shutdown -r now

help: 显示帮助信息，它会遍历 Makefile 中的目标和说明，然后格式化输出显示。generate-ebpf: 这个目标生成 EBPF 代码和库。它设置了环境变量 BPF_CLANG 和 BPF_CFLAGS，然后运行 go generate ./... 命令来生成 EBPF 代码。fmt：运行 go fmt 命令对代码进行格式化。如果找不到 goimports，则尝试安装。vet：运行 go vet 命令对代码进行静态分析。test-unit：运行单元测试，使用 go test 命令并将覆盖率输出到 coverage.out 文件。test：运行所有测试，包括单元测试。build：此目标通常用于构建项目。在这个 Makefile 中，它依赖于 generate-ebpf、fmt 和 vet 目标，因此会首先生成 EBPF 代码，然后对代码进行格式化和静态分析。

sudo suecho 1 > /sys/kernel/debug/tracing/tracing_on

package mainimport (  "github.com/bytedance/vArmor-ebpf/pkg/behavior")
func main() {  behavior.Test_loadEbpf()  behavior.Test_customData()}

package behavior
import (  "fmt"  "k8s.io/klog/v2/klogr"  "os/exec"  log "sigs.k8s.io/controller-runtime/pkg/log"  "time")
func Test_loadEbpf() {  log.SetLogger(klogr.New())  tracer := NewEbpfTracer(log.Log.WithName("ebpf"))
  _ = tracer.InitEBPF()  _ = tracer.RemoveEBPF()}
func Test_customData() {  ...    ...    // 下面有该函数的完整代码}

func (tracer *EbpfTracer) InitEBPF() error {  // 日志记录,表明正在执行内存锁定的操作  tracer.log.Info("remove memory lock")
  // RemoveMemlock 用于允许当前进程锁定内存以便 eBPF 资源使用  if err := rlimit.RemoveMemlock(); err != nil {    return fmt.Errorf("RemoveMemlock() failed: %v", err)  }
  // 表明正在加载 eBPF 程序和映射到内核中。调用了 loadBpfObjects() 函数来加载预编译的程序和内核中的映射对象到指定的结构体 tracer.objs 中  tracer.log.Info("load ebpf program and maps into the kernel")  if err := loadBpfObjects(&tracer.objs, nil); err != nil {    return fmt.Errorf("loadBpfObjects() failed: %v", err)  }  return nil}

func Test_customData() {  // 创建一个容量为200的通道 eventCh，这个通道用于接收 bpfEvent 类型的事件  eventCh := make(chan bpfEvent, 200)  // 记录程序运行时的日志信息  log.SetLogger(klogr.New())    // 创建一个新的 eBPF 跟踪器实例  tracer := NewEbpfTracer(log.Log.WithName("ebpf"))    // 加载预编译程序和内核中的映射对象，用来初始化 eBPF 跟踪器  _ = tracer.InitEBPF()    // 函数结束时，删除 eBPF 跟踪器  defer tracer.RemoveEBPF()  // 将刚创建的通道 eventCh 添加到跟踪器中，并将其关联到 "TEST" 这个名称  tracer.AddEventCh("TEST", eventCh)  // 创建一个新的计时器 stopTicker，每3秒触发一次  stopTicker := time.NewTicker(3 * time.Second)    // 创建另一个计时器 runTicker，每2秒触发一次  runTicker := time.NewTicker(2 * time.Second)  count := 0
LOOP:  for {  // 开始无限循环    select {        // 当 runTicker 计时器的定时器触发时，执行下面的代码块    case <-runTicker.C:                // 创建一个新的子进程来执行 "hostname" 命令      cmd := exec.Command("hostname")            // 将环境变量 "VARMOR=TEST" 添加到子进程的环境变量中      cmd.Env = append(cmd.Env, "VARMOR=TEST")            // 在新的 goroutine 中运行子进程      go cmd.Run()      // 当 stopTicker 计时器的定时器触发时，执行下面的代码块，这将结束循环    case <-stopTicker.C:      break LOOP      // 当从 eventCh 通道接收到新的事件时，执行下面的代码块    case event := <-eventCh:      // 从事件的数据中提取环境变量、父进程任务名、子进程任务名和文件名            len := indexOfZero(event.Env[:])      env := string(event.Env[:len])
      len = indexOfZero(event.ParentTask[:])      parentTask := string(event.ParentTask[:len])
      len = indexOfZero(event.ChildTask[:])      childTask := string(event.ChildTask[:len])
      len = indexOfZero(event.Filename[:])      fileName := string(event.Filename[:len])
            // 根据事件的类型（fork 或 exec），设置事件类型字符串      eventType := ""      if event.Type == 1 {        eventType = "sched_process_fork"      } else {        eventType = "sched_process_exec"      }            // 格式化输出包括事件类型、父进程ID、子进程ID、父进程任务名、子进程任务名、环境变量、事件编号和文件名      output := fmt.Sprintf("%-24s |%-12d %-12d %-20s | %-12d %-12d %-20s | %-20s %-12d %sn",        eventType,        event.ParentPid, event.ParentTgid, parentTask,        event.ChildPid, event.ChildTgid, childTask,        env, event.Num, fileName,      )      fmt.Println(output)            // 如果环境变量为 "VARMOR=TEST"，则增加计数器      if env == "VARMOR=TEST" {        count += 1      }    }  }}

func (enforcer *BpfEnforcer) StartEnforcing() error {  capableLink, err := link.AttachLSM(link.LSMOptions{    Program: enforcer.objs.VarmorCapable,  })  if err != nil {    return err  }  enforcer.capableLink = capableLink  ...  ...

// u32 mnt_ns = get_task_mnt_ns_id(current);// u32 *vnet_inner = get_net_inner_map(mnt_ns);// 修改成u32 mnt_ns = get_task_mnt_ns_id(current);DEBUG_PRINT("mnt_ns: %d", mnt_ns);u32 *vnet_inner = get_net_inner_map(4026533559);
// 修改内核态代码后，记得要 make generate-ebpf 一下哈

// u32 mnt_ns = get_task_mnt_ns_id(current);// u64 *deny_caps = get_capability_rules(mnt_ns);// 修改成u32 mnt_ns = get_task_mnt_ns_id(current);DEBUG_PRINT("mnt_ns: %d", mnt_ns);u64 *deny_caps = get_capability_rules(4026533394);
// 修改内核态代码后，记得要 make generate-ebpf 一下哈