Как seccomp-bpf фильтрует системные вызовы?

Question

Я исследую детали реализации seccomp-bpf, механизма фильтрации syscall, который появился в Linux начиная с версии 3.5. Я заглянул в исходный код kernel/seccomp.c из Linux 3.10 и хочу задать несколько вопросов по этому поводу.

Из seccomp.c кажется, что seccomp_run_filters () вызывается из __secure_computing () для проверки системного вызова, вызываемого текущим процессом. Но, глядя на seccomp_run_filters (), номер системного вызова, передаваемый в качестве аргумента, нигде не используется.

Кажется, что sk_run_filter() является реализацией машины фильтра BPF, но sk_run_filter() вызывается из seccomp_run_filters () с первым аргументом (буфером для запуска фильтра) NULL.

Мой вопрос: как seccomp_run_filters () может фильтровать системные вызовы без использования аргумента?

Ниже приведен исходный код seccomp_run_filters():

/**
 * seccomp_run_filters - evaluates all seccomp filters against @syscall
 * @syscall: number of the current system call
 *
 * Returns valid seccomp BPF response codes.
 */
static u32 seccomp_run_filters(int syscall)
{
        struct seccomp_filter *f;
        u32 ret = SECCOMP_RET_ALLOW;

        /* Ensure unexpected behavior doesn't result in failing open. */
        if (WARN_ON(current->seccomp.filter == NULL))
                return SECCOMP_RET_KILL;

        /*
         * All filters in the list are evaluated and the lowest BPF return
         * value always takes priority (ignoring the DATA).
         */
        for (f = current->seccomp.filter; f; f = f->prev) {
                u32 cur_ret = sk_run_filter(NULL, f->insns);
                if ((cur_ret & SECCOMP_RET_ACTION) < (ret & SECCOMP_RET_ACTION))
                        ret = cur_ret;
        }
        return ret;
}

Answer 1

Когда пользовательский процесс входит в ядро, набор регистров сохраняется в переменной ядра. Функция sk_run_filter реализует интерпретатор для языка фильтра. Соответствующая инструкция для фильтров seccomp BPF_S_ANC_SECCOMP_LD_W, Каждая инструкция имеет константу kи в этом случае он указывает индекс слова для чтения.

#ifdef CONFIG_SECCOMP_FILTER
            case BPF_S_ANC_SECCOMP_LD_W:
                    A = seccomp_bpf_load(fentry->k);
                    continue;
#endif

Функция seccomp_bpf_load использует текущий набор регистров пользовательского потока для определения информации о системном вызове.