Безопасность компьютерных систем 2017/SECCOMP - История изменений

Gamajun в 19:17, 4 декабря 2017

2017-12-04T19:17:05Z

← Предыдущая версия		Версия от 19:17, 4 декабря 2017
Строка 2:		Строка 2:
	Ссылки для изучения:		Ссылки для изучения:

	# Рекомендуемая основная презентация: http://events.linuxfoundation.org/sites/events/files/slides/limiting_kernel_attack_surface_with_seccomp-ContainerCon.eu_2016-Kerrisk.pdf		# Рекомендуемая основная презентация (пригодится для выполнения бонусного задания к заданию 3): http://events.linuxfoundation.org/sites/events/files/slides/limiting_kernel_attack_surface_with_seccomp-ContainerCon.eu_2016-Kerrisk.pdf
	# https://eigenstate.org/notes/seccomp		# https://eigenstate.org/notes/seccomp
	# Kafel - язык для конструирования политик seccomp (not an official Google product) https://github.com/google/kafel		# Kafel - язык для конструирования политик seccomp (not an official Google product) https://github.com/google/kafel

Gamajun в 19:16, 4 декабря 2017

2017-12-04T19:16:24Z

← Предыдущая версия		Версия от 19:16, 4 декабря 2017
Строка 1:		Строка 1:
	== Linux seccomp ==		== Linux seccomp ==
	Ссылки для изучения:		Ссылки для изучения:
	1. Рекомендуемая основная презентация: http://events.linuxfoundation.org/sites/events/files/slides/limiting_kernel_attack_surface_with_seccomp-ContainerCon.eu_2016-Kerrisk.pdf
	2. https://eigenstate.org/notes/seccomp		# Рекомендуемая основная презентация: http://events.linuxfoundation.org/sites/events/files/slides/limiting_kernel_attack_surface_with_seccomp-ContainerCon.eu_2016-Kerrisk.pdf
	3. Kafel - язык для конструирования политик seccomp (not an official Google product) https://github.com/google/kafel		# https://eigenstate.org/notes/seccomp
			# Kafel - язык для конструирования политик seccomp (not an official Google product) https://github.com/google/kafel

	== Тестовый пример 2 ==		== Тестовый пример 2 ==

Gamajun в 19:15, 4 декабря 2017

2017-12-04T19:15:42Z

← Предыдущая версия		Версия от 19:15, 4 декабря 2017
Строка 1:		Строка 1:
			== Linux seccomp ==
			Ссылки для изучения:
			1. Рекомендуемая основная презентация: http://events.linuxfoundation.org/sites/events/files/slides/limiting_kernel_attack_surface_with_seccomp-ContainerCon.eu_2016-Kerrisk.pdf
			2. https://eigenstate.org/notes/seccomp
			3. Kafel - язык для конструирования политик seccomp (not an official Google product) https://github.com/google/kafel

	== Тестовый пример 2 ==		== Тестовый пример 2 ==

Gamajun: /* Тестовый пример 2 */

2017-11-28T19:21:31Z

Тестовый пример 2

← Предыдущая версия		Версия от 19:21, 28 ноября 2017
Строка 9:		Строка 9:
	int main() {		int main() {
	pid_t pid;		pid_t pid;

	scmp_filter_ctx ctx = seccomp_init(SCMP_ACT_TRAP);		scmp_filter_ctx ctx = seccomp_init(SCMP_ACT_TRAP);

	seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);		seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);
	seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0);		seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0);
	seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(sigreturn), 0);		seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(sigreturn), 0);
	seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);		seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);


	printf ("No restrictions yet\n");		printf ("No restrictions yet\n");

	seccomp_load(ctx);		seccomp_load(ctx);
	pid = getpid();		pid = getpid();

	printf("!! YOU SHOULD NOT SEE THIS!! My PID is%d\n", pid);		printf("!! YOU SHOULD NOT SEE THIS!! My PID is%d\n", pid);

	return 0;		return 0;
	}		}

Gamajun: /* Тестовый пример 2 */

2017-11-28T10:08:33Z

Тестовый пример 2

← Предыдущая версия		Версия от 10:08, 28 ноября 2017
Строка 1:		Строка 1:
	== Тестовый пример 2 ==		== Тестовый пример 2 ==

	~~'''~~
	~~#include <stdio.h>~~
	~~#include <seccomp.h>~~
	~~#include <unistd.h>~~
	~~#include <sys/fcntl.h>~~
	~~#include <errno.h>~~

	int main() {		#include <stdio.h>
			#include <seccomp.h>
			#include <unistd.h>
			#include <sys/fcntl.h>
			#include <errno.h>
			int main() {
	pid_t pid;		pid_t pid;

Строка 27:		Строка 26:

	return 0;		return 0;
	}		}
	~~'''~~

Gamajun: Новая страница: «== Тестовый пример 2 == ''' #include #include #include #include #include int main() {…»

2017-11-28T10:08:06Z

Новая страница: «== Тестовый пример 2 == ''' #include <stdio.h> #include <seccomp.h> #include <unistd.h> #include <sys/fcntl.h> #include <errno.h> int main() {…»

Новая страница

== Тестовый пример 2 ==

'''
#include <stdio.h>
#include <seccomp.h>
#include <unistd.h>
#include <sys/fcntl.h>
#include <errno.h>

int main() {
pid_t pid;

scmp_filter_ctx ctx = seccomp_init(SCMP_ACT_TRAP);

seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(sigreturn), 0);
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);

printf ("No restrictions yet\n");

seccomp_load(ctx);
pid = getpid();

printf("!! YOU SHOULD NOT SEE THIS!! My PID is%d\n", pid);

return 0;
}
'''