我正在调查seccomp-bpf的实现细节,这是自3.5版以来引入Linux中的系统调用过滤机制。我查看了Linux 3.10内核/seccomp.c的源代码,并想问一些有关此事的问题。
从seccomp.c中可以看出,__secure_computing()会调用seccomp_run_filters()测试当前进程调用的系统调用。但是,在查看seccomp_run_filters()时,传递的系统调用号并没有在任何地方使用。
似乎sk_run_filter()是BPF过滤器机器的实现,但从seccomp_run_filters()调用sk_run_filter()时,第一个参数(要运行过滤器的缓冲区)为NULL。
我的问题是:seccomp_run_filters()如何在不使用参数的情况下过滤系统调用?
以下是seccomp_run_filters()的源代码:
从seccomp.c中可以看出,__secure_computing()会调用seccomp_run_filters()测试当前进程调用的系统调用。但是,在查看seccomp_run_filters()时,传递的系统调用号并没有在任何地方使用。
似乎sk_run_filter()是BPF过滤器机器的实现,但从seccomp_run_filters()调用sk_run_filter()时,第一个参数(要运行过滤器的缓冲区)为NULL。
我的问题是:seccomp_run_filters()如何在不使用参数的情况下过滤系统调用?
以下是seccomp_run_filters()的源代码:
/**
* seccomp_run_filters - evaluates all seccomp filters against @syscall
* @syscall: number of the current system call
*
* Returns valid seccomp BPF response codes.
*/
static u32 seccomp_run_filters(int syscall)
{
struct seccomp_filter *f;
u32 ret = SECCOMP_RET_ALLOW;
/* Ensure unexpected behavior doesn't result in failing open. */
if (WARN_ON(current->seccomp.filter == NULL))
return SECCOMP_RET_KILL;
/*
* All filters in the list are evaluated and the lowest BPF return
* value always takes priority (ignoring the DATA).
*/
for (f = current->seccomp.filter; f; f = f->prev) {
u32 cur_ret = sk_run_filter(NULL, f->insns);
if ((cur_ret & SECCOMP_RET_ACTION) < (ret & SECCOMP_RET_ACTION))
ret = cur_ret;
}
return ret;
}