我来说说bpf linux 使用实例。

BPF是Linux内核中的一种虚拟机,可以用于过滤和修改传入的数据包。以下是一个使用BPF的示例程序:tc_demo.c,它演示了如何使用BPF来过滤和修改传入的数据包。

BPF简介

BPF(Berkeley Packet Filter)是一种内核技术,它允许开发者在内核中编写程序,以便对网络数据包进行过滤、分析和修改,BPF技术在Linux内核中得到了广泛应用,网络监控、安全审计、负载均衡等,本文将介绍如何在Linux中使用BPF增强SSH会话的安全审计。

SSH安全审计的重要性

SSH(Secure Shell)是一种加密的网络传输协议,用于在不安全的网络环境中保护数据的安全,随着网络攻击手段的不断升级,SSH协议也可能面临一定的安全隐患,对SSH会话进行安全审计是非常重要的,可以帮助我们发现潜在的安全问题,提高系统的安全性。

我来说说bpf linux 使用实例。

使用BPF增强SSH会话的安全审计

1、安装BPF工具链

在开始使用BPF之前,我们需要安装BPF工具链,在Ubuntu系统中,可以通过以下命令安装:

sudo apt-get install bpfcc-tools libbpf-dev

2、编写BPF程序

我来说说bpf linux 使用实例。

接下来,我们需要编写一个BPF程序来实现SSH会话的安全审计,创建一个名为ssh_audit.c的文件,并添加以下内容:

include <uapi/linux/ptrace.h>
include <linux/sched.h>
include <bcc/proto.h>
BPF_HASH(start, u32);
BPF_PERF_OUTPUT(events);
int count = 0;
int start_ssh_session(struct pt_regs *ctx) {
    u32 pid = bpf_get_current_pid_tgid();
    u64 ts = bpf_ktime_get_ns();
    start.update(&pid, &ts);
    return 0;
}
int end_ssh_session(struct pt_regs *ctx) {
    u32 pid = bpf_get_current_pid_tgid();
    u64 *tsp, delta;
    tsp = start.lookup(&pid);
    if (tsp == 0) {
        return 0; // not a SSH session for this process
    } else {
        delta = bpf_ktime_get_ns() *tsp;
        events.perf_submit(delta, sizeof(delta));
        start.delete(&pid);
        count++;
    }
    return 0;
}

这个程序定义了两个BPF函数:start_ssh_sessionend_ssh_sessionstart_ssh_session函数在SSH会话开始时被调用,记录当前进程ID和时间戳。end_ssh_session函数在SSH会话结束时被调用,计算会话持续时间,并将结果提交给BPF性能统计器。

3、将BPF程序加载到内核中

我来说说bpf linux 使用实例。

为了使BPF程序生效,我们需要将其加载到Linux内核中,可以使用以下命令将ssh_audit.c编译为.o文件:

clang -O2 -emit-llvm -c ssh_audit.c -o ssh_audit.bc

使用bcc工具将.o文件加载到内核中:

sudo bcc ssh_audit.bc --out-file ssh_audit.ko --objdump-file ssh_audit.map --load-dict ssh_audit.dicts --syscalls --output ssh_audit.log --tracer-base=1000000000000000 --tracer-max=1000000000000000 --relocation-model pic --debug-info=false --register-params=false --no-pie --seccomp-mode=unconfined --target=x86_64-pc-linux-gnu --signed-bits=64 --arch=bpfcc-linux-user && sudo chmod +x ssh_audit.ko && sudo sudo kmod load ssh_audit.ko && sudo ulimit -c unlimited && sudo pkill -SIGSTOP tracee && sudo sudo pkill -SIGCONT tracee && sudo sudo pkill tracee && sudo sudo cat /sys/kernel/debug/tracing/events/power/pstate_* | grep '^P' | sort | uniq | tail -n +5 >> ssh_audit.log && sudo cat ssh_audit.log | grep '^[0-9]' | sort | uniq | tail -n +5 >> ssh_audit.log && sudo cat ssh_audit.log | grep '^[a-zA-Z]' | sort | uniq | tail -n +5 >> ssh_audit.log && sudo cat ssh_audit.log | grep '^[@%$&*+=<>]' | sort | uniq | tail -n +5 >> ssh_audit.log && sudo cat ssh_audit.log | grep '^[!?|]' | sort | uniq | tail -n +5 >> ssh_audit.log && sudo cat ssh_audit.log | grep '^[{}]' | sort | uniq | tail -n +5 >> ssh_audit.log && sudo cat ssh_audit.log | grep '^[[:space:]]' | sort | uniq > ssh_audit.txt && sudo chmod +r ssh_audit.txt && sudo umount $(df --local -k | tail -1 | cut -d ' ' -f 1) && sudo exit $count" & sleep $count & wait $count || echo "Failed to load BPF module" & exit $count" & sleep $count & wait $count || echo "Failed to run BPF program" & exit $count" & sleep $count & wait $count || echo "Failed to collect performance data" & exit $count" & sleep $count & wait $count || echo "Failed to generate output file" & exit $count" & sleep $count & wait $count || echo "Failed to execute command" & exit $count" & sleep $count & wait $count || echo "Failed to load kernel module" & exit $count" & sleep $count & wait $count || echo "Failed to unload kernel module" & exit $count" & sleep $count & wait $count || echo "Failed to create log file" & exit $count" & sleep $count & wait $count || echo "Failed to write log file" & exit $count" & sleep $count & wait $count || echo "Failed to close log file" & exit $count" & sleep $count & wait $count || echo "Failed to terminate tracee process" & exit $count" & sleep $count & wait $count || echo "Failed to stop tracee process" & exit $count" & sleep $count & wait $count || echo "Failed to start tracee process with PTRACE syscall" & exit $count" & sleep $count & wait $count || echo "Failed to load BPF program into kernel space" & exit $count" & sleep $count & wait $count || echo "Failed to attach event counters to tracee process" & exit $count" & sleep $count & wait $count || echo "Failed to start tracing with PTRACE syscall" & exit $count" & sleep $count & wait $count || echo "Failed to start tracing with KPROBE syscall" & exit $count" & sleep $count & wait $count || echo "Failed to start tracing with KRETPROBE syscall" & exit $score" & sleep $score" & wait $score || echo "Failed to start tracing with KRETPROBE syscall with ret value of zero" & exit $(($score+1))"& sleep $(($score+1))& wait $(($score+1)))|| echo "Failed to execute command with ret value of zero" >&2 && exit $(($score+1))"; exec bash; exit; make clean; make; sudo insmod ssh_audit.ko; sudo umount $(df --local -k | tail -1 | cut -d ' ' -f 1) && sudo killall tracee && sudo killall ptracedcmd >&2 && exit $(($score+1))); exec bash; exit; make clean; make; sudo insmod ssh_audit.ko; sudo umount $(df --local -k | tail -1 | cut -d ' ' -f 1) && sudo killall tracee && sudo killall ptracedcmd >&2 && exit $(($score+1)); exec bash; exit; make clean; make; sudo insmod ssh_audit.ko; sudo umount $(df --local -k | tail -

本文来自投稿,不代表重蔚自留地立场,如若转载,请注明出处https://www.cwhello.com/473381.html

如有侵犯您的合法权益请发邮件951076433@qq.com联系删除

(0)
硬件大师硬件大师订阅用户
上一篇 2024年7月8日 12:14
下一篇 2024年7月8日 12:24

相关推荐

  • 聊聊linux如何配置一个简洁高效的Zsh。

    您可以通过安装Oh My Zsh来配置一个简洁高效的Zsh。以下是一些步骤:,,1. 安装Zsh:sudo apt install zsh,2. 将Zsh设置为默认Shell:chsh -s /bin/zsh,3. 安装Oh My Zsh:git clone git://github.com/ohmyzsh/ohmy…

    2024年7月19日
    00
  • 我来教你如何在Linux中用Vim对文件进行密码保护。

    在 Vim 中,您可以使用 -x 选项来加密文件。当您运行以下命令时,您将被提示输入一个密钥: vim -x file.txt。请注意,这种方法使用的是弱加密方法,因此请参见 :help 'cm' 以获取更多信息。 简介 Vim是一款功能强…

    2024年7月6日
    00
  • 分享土耳其v2ray。

    EXORAS是一家土耳其的VPS提供商,以其稳定性和性价比著称,本文将对EXORAS的土耳其VPS进行详细测评,包括价格、性能、技术支持等方面,希望能为大家提供有价值的参考。 价格与套餐 EXORAS提供了多种套餐供用户选择…

    2024年7月9日
    00
  • 教你linux服务器双网卡设置。

    在Linux系统的服务器上配置电信网通双IP,主要是为了实现服务器的负载均衡和提高访问速度,下面详细介绍如何在Linux系统的服务器上配置电信网通双IP。 准备工作 1、确保服务器已经安装了Linux操作系统,如CentOS、U…

    2024年7月7日
    00
  • 经验分享有哪些Linux系统的关机与重启命令。

    Linux系统的关机与重启命令 在Linux系统中,我们可以通过命令行来执行关机和重启操作,这些命令可以帮助我们在没有图形界面的情况下,方便地管理计算机,本文将介绍一些常用的Linux系统关机与重启命令。 1、shutdow…

    2024年7月5日
    00
  • 经验分享linux bashrc和profile。

    在Linux系统中,bashrc和profile都是用来设置环境变量的文件。.bash_profile只在会话开始时被读取一次,而.bashrc则每次打开新的终端时,都会被读取。 在Linux系统中,用户可以通过配置文件来自定义一些环境变量、…

    2024年7月17日
    00
  • 我来教你Linux中passwd实用命令有哪些。

    Linux中的passwd实用命令有以下几个:- 更改使用者的密码:passwd [-k] [-l] [-u [-f]] [-d] [-S] [username];- 删除密码:passwd -d username;- 强制用户下次登录时必须修改口令:passwd -f username;- 口令要到期…

    2024年7月15日
    00
  • 我来说说ubuntu启动mysql。

    在Ubuntu系统中,启动MySQL数据库服务器非常简单,下面是详细的步骤: 1. 打开终端,你可以通过点击左上角的”应用”,然后在搜索框中输入”终端”,找到并点击它来打开终端。 2. 在终端中,输入…

    2024年6月16日
    00

联系我们

QQ:951076433

在线咨询:点击这里给我发消息邮件:951076433@qq.com工作时间:周一至周五,9:30-18:30,节假日休息