ceccomp asm [-c WHEN] [-a ARCH] [-f FMT] [TEXT]

决定了 ceccomp 何时输出有颜色的文本。当设置为 auto 时， ceccomp 会在输出目标是一个“tty”时打印颜色。可以是 auto 、 never 或者 always 。 默认值是 auto 。

可以设置为任何 libseccomp 支持的架构。它将被用于决定系统调用名称对应的系统调用号。 例如，在 x86_64 上，就像上面的基本示例，你可以写 "execve" 而不是数字 59 指代系统调用号。如果不设置这个参数，则通过 uname 提取当前系统的架构。 你的系统上的默认值是 x86_64 。

Note

从 4.0 版本 开始考虑端序。如果目标架构 ARCH 的端序与机器端序不同，则会在输出前反转过滤器（CODE 和 K）。

决定了 ceccomp 如何输出二进制格式的BPF字节码。可以是 hexfmt 、 hexline 或者 raw 。你可以在 CECCOMP 示例 节中找到示例输出。默认值是 hexline 。

一个可选的文件名，其中存放了需要被汇编的 TEXT 。不设置则从 标准输入 中读取。- 被视作 标准输入。

Important

4.0 版本 大幅修改了汇编的语法，请查阅下面的语法参考！

ceccomp disasm [-c WHEN] [-a ARCH] [RAW]

参数描述可以在 asm - 汇编 一节中找到。 disasm 可能会打印更多有颜色的文本，包括针对 TEXT 的语法高亮。

可以设置为任何 libseccomp 支持的架构。它将被用于决定 RAW 中的系统调用号如何被翻译为系统调用名。 例如，在 x86_64 上，在比较系统调用号时，数字 0x3b 将被翻译为 execve ，可以看上面的基本示例。 你的系统上的默认值是 x86_64 。

包含原始 BPF 代码的二进制文件。如果不设置则将 标准输入 作为输入。- 被视作 标准输入。这个文件是与架构有关的，所以它在不同架构之间可能不是通用的。

Note

从 4.0 版本 开始考虑端序。如果目标架构 ARCH 的端序与机器端序不同，则会在解码前反转过滤器（CODE 和 K）。

Note

当且仅当在某一行的架构可以被确定时，ceccomp 才会尝试用那个架构解析那个系统调用号。 如果是外部架构（不等于你设置的架构），它会被附加到系统调用名前。你可能会注意到在一些情况下， seccomp-tools 能解析一些系统调用名，而 ceccomp 不能，这可能是因为此时架构不能被确定。

ceccomp emu [-c WHEN] [-a ARCH] [-q] TEXT SYSCALL_NAME/SYSCALL_NR [ARGS[0] ARGS[1] ... ARGS[5] PC]

参数描述可以在 asm - 汇编 一节中找到。 emu 可能会打印更多有颜色的文本，包括针对 TEXT 的语法高亮以及跳过的伪代码。

如果你设置了 SYSCALL_NAME （比如 execve ），那么它会基于 ARCH 先被翻译为对应的 SYSCALL_NR 。或者你可以直接设置 SYSCALL_NR （例如 59 ）。然后会测试这个系统调用号经过 BPF 过滤器处理后的输出并打印出来。这个参数是必填的。

当调用系统调用时对应寄存器的值。例如，在 x86_64 上，它们分别对应了 rdi 、 rsi 、 rdx 、 r10 、 r8 、 r9 和 rip 。它们的默认值都是0。

参数描述可以在 asm - 汇编 一节中找到。

一个文件名，其中存放了需要被测试的 TEXT 规则。注意文件名 不能 被忽略，因为 ceccomp 无法判断一个位置参数是系统调用号还是文件名。使用 - 可以指代 标准输入。

只打印过滤器的模拟结果。例如，最后一行模拟的伪代码是 return KILL，那么将会打印 KILL。

ceccomp trace [-c WHEN] [-o FILE] PROGRAM [program-args]
              [-c WHEN] -p PID [-s]

参数描述可以在 asm - 汇编 一节中找到。 trace 可能会打印更多有颜色的文本，包括针对 TEXT 的语法高亮。

当 PROGRAM 会产生很多输出到 标准错误 时可能很有用。 ceccomp 允许用户关闭 标准输入 和 标准输出 来限制 PROGRAM 的输入和输出，所以 当运行 PROGRAM 时 ceccomp 使用 标准错误 来打印消息。如果你想在别的文件中看见 TEXT 的话请设置 FILE 。- 被视作 标准输出。

设置为你想运行的程序，并且 program-args 将作为它的参数， 就像运行 shell 命令 exec PROGRAM program-args 。

设置为你想检查的 pid。 PID 和 PROGRAM 相冲突；你只能在一条命令中动态运行一个程序， 或者检查一个 pid。没有 -s 标志，trace pid 会尝试使用 ptrace(PTRACE_SECCOMP_GET_FILTER) 从 PID 中提取 seccomp 过滤器，这个操作在一些系统上可能不可用。

只适用于 TRACE PID 模式。 设置这个标志将会覆盖 trace pid 的行为为像 trace prog 模式一样把调试器挂到 PID 上并持续跟踪 seccomp 过滤器的加载。这个标志引入于 4.0 版本。

设置这个标志将会在检测到进程分叉、退出或加载 seccomp 过滤器时抑制多余的 [INFO] 输出。 这个标志引入于 4.0 版本。

Note

要想从 PID 中提取过滤器，你需要 CAP_SYS_ADMIN （没有 -s 标志），同时还可能需要 CAP_SYS_PTRACE ，最简单的获取它们的方法是用 sudo 运行 ceccomp 。

Note

从 3.1 版本 开始引入了多进程支持，并且当被调试进程 fork/resolve/exit 时，将会打印一条额外的 INFO 信息。你可以使用像 ceccomp trace -q PROG 2>/dev/null 这样的命令丢弃它。

ceccomp probe [-c WHEN] [-o FILE] [-q] PROGRAM [program-args]

open      -> ALLOW
read      -> ALLOW
write     -> ALLOW
execve    -> KILL
execveat  -> KILL
mmap      -> ALLOW
mprotect  -> ALLOW
openat    -> ALLOW
sendfile  -> ALLOW
ptrace    -> ERRNO(1)
fork      -> ALLOW

Note

seccomp-tools 没有等价的子命令。

#Label  CODE  JT   JF      K
#---------------------------------
 L0001: 0x06 0x00 0x00 0x7fff0000 return ALLOW
#---------------------------------

Note

ceccomp disasm 和 seccomp-tools disasm 的输出之间有很多细微的差别， 以下是一个典型的输出示例。同时有些伪代码是不同的，所以不要盲目将 seccomp-tools 的输出管道给 ceccomp。

line  CODE  JT   JF      K
=================================
0000: 0x06 0x00 0x00 0x7fff0000  return ALLOW

$A = $arch
$A = $syscall_nr

$A = $low_pc
$A = $high_pc
$A = $low_args[0]
$A = $high_args[0]
...
$A = $low_args[5]
$A = $high_args[5]

$A = $scmp_data_len
$X = $scmp_data_len

$X = $mem[0]
$A = $mem[0xf]
$A = $mem[15] # both hex and dec index are OK
$A = 0
$X = 0x3b
$A = 0b1111
$A = 0333

$A = $X
$X = $A
$mem[3] = $X
$mem[0x4] = $A

$A += 30
$A -= 4
$A *= 9
$A /= 1
$A &= 7
$A >>= 6

$A &= $X
$A |= $X
$A ^= $X
$A <<= $X

$A = -$A

goto L3

if ($A == execve) goto L3
if ($A != 1234) goto L4
if ($A & $X) goto L5
if !($A & 7) goto L6
if ($A <= $X) goto L7

if ($A > $X) goto L3, else goto L4
if ($A >= 4567) goto L5, else goto L6

if ($A == aarch64.read) goto 5

return $A

return 0x13371337
return KILL
return KILL_PROCESS
return TRAP(123)
return ERRNO(0)
return TRACE
return TRACE(3)
return LOG
return NOTIFY

$A = $syscall_nr
if ($A == execve) goto forbid
if ($A == execveat) goto forbid
return ALLOW
forbid: return KILL