eBPFでDockerの--passwordで入力したパスワードを盗む | κeenのHappy Hacκing Blog

κeenです。以前の記事の続きで、 /proc を監視するのではなくeBPFで取得してみます。ついでにRustのコードをeBPFで動かせるライブラリのayaも使ってみます。 以前の記事では /proc 以下の監視をビジーループで回すという力技で新しく作られたプロセスを補足していました。これだとCPU使用率が上がって美しくありませんし、何より原理的には見逃しもありえてしまいます。そこでカーネルの機能を使って全てのプロセスの作成を監視して低CPU使用率かつ捕捉率100%の実装を目指します。 eBPFとは？ なんかLinuxカーネルでユーザの書いたコード動かせるやつです。私は説明できるほど詳しくないので適当にググって下さい。 1つやっかいな点として、独自のバイナリを動かすのでカーネル内で動かすコードはコンパイラがeBPFに対応したものでないといけません。また、カーネル内で動かすコードをユーザラン

[y-kawaz]

面白そう

[hasiduki]

eBPFって楽しそうだな！bpfTraceも試してみたい

[yarumato]

“eBPFとは？ Linuxカーネルでユーザの書いたコード動かせるやつです。また、カーネル内で動かすコードをユーザランドから制御するプログラムも同時に書く必要があります。RustでeBPFのコードが書けるライブラリを使う”

[BlueSkyDetector]

eBPFをいろんな用途で使い込みたい

[udzura]

便利。