用eBPF监控HTTP请求头：揪出恶意行为，保护你的Web应用

2025/5/4 18:03:49 93 0 0 0

作为一名Web安全工程师，我深知Web应用面临的安全威胁日益严峻。传统的Web应用防火墙（WAF）虽然能提供一定的防护，但往往依赖于预定义的规则，难以应对新型的、变种的攻击。更糟糕的是，很多WAF部署在应用层，性能损耗较大，甚至会影响用户体验。

有没有一种方法，既能深入监控HTTP请求，又能避免性能瓶颈，还能灵活应对各种攻击？答案是肯定的：eBPF（扩展的伯克利包过滤器）。

什么是eBPF？

eBPF最初是为网络数据包过滤而设计的，但现在已经发展成为一个强大的、通用的内核态虚拟机。它允许你在内核中安全地运行用户提供的代码，而无需修改内核源代码或加载内核模块。这意味着你可以利用eBPF来监控系统调用、网络事件，甚至应用程序的内部行为，而不会对系统稳定性造成威胁。

为什么选择eBPF监控HTTP请求头？

HTTP请求头包含了大量有价值的信息，例如：

User-Agent： 客户端的类型和版本，可以用来识别恶意爬虫或自动化攻击。
Cookie： 用户身份信息，可以用来检测会话劫持攻击。
Referer： 请求的来源页面，可以用来防止跨站请求伪造（CSRF）攻击。
X-Forwarded-For： 客户端的真实IP地址，可以用来追踪攻击来源。

通过分析这些信息，我们可以识别出各种恶意行为，例如：

SQL注入： 攻击者在HTTP请求头中插入恶意SQL代码，试图篡改或窃取数据库信息。
跨站脚本攻击（XSS）： 攻击者在HTTP请求头中插入恶意JavaScript代码，试图在用户的浏览器中执行。
恶意爬虫： 恶意爬虫会占用大量服务器资源，甚至会导致服务崩溃。
DDoS攻击： 攻击者通过发送大量HTTP请求，试图使服务器瘫痪。

如何使用eBPF监控HTTP请求头？

使用eBPF监控HTTP请求头，主要分为以下几个步骤：

选择合适的eBPF工具： 目前有很多eBPF工具可供选择，例如：
- bcc： 一个Python库，提供了一组用于编写和运行eBPF程序的工具。
- bpftrace： 一种高级的eBPF跟踪语言，可以用来动态地跟踪系统事件。
- cilium： 一个基于eBPF的网络和安全平台，可以用来实现各种网络策略和安全策略。
根据你的需求和技术栈，选择合适的工具。我个人比较喜欢bcc，因为它提供了丰富的示例和文档，学习曲线比较平缓。
编写eBPF程序： eBPF程序通常使用C语言编写，并使用特定的编译器编译成字节码。你需要定义eBPF程序的入口点，以及要监控的事件和要执行的操作。

例如，以下是一个简单的eBPF程序，用于监控HTTP请求的User-Agent头：

 #include <uapi/linux/ptrace.h>
#include <linux/socket.h>
#include <net/sock.h>
#include <linux/string.h>
 
struct data_t {
    u32 pid;
    char user_agent[80];
};
 
BPF_PERF_OUTPUT(events);
 
int kprobe__tcp_v4_do_rcv(struct pt_regs *ctx, struct sk_buff *skb) {
    struct sock *sk = skb->sk;
    u32 pid = bpf_get_current_pid_tgid();
 
    // 只处理HTTP请求
    if (sk->__sk_common.skc_port != 80) {
        return 0;
    }
 
    char *head = skb->head;
    char *data = skb->data;
    int len = skb->len;
 
    // 查找User-Agent头
    char *user_agent = strstr(data, "User-Agent:");
    if (user_agent == NULL) {
        return 0;
    }
 
    // 提取User-Agent头的值
    user_agent += strlen("User-Agent:");
    while (*user_agent == ' ') {
        user_agent++;
    }
 
    struct data_t event = {};
    event.pid = pid;
    bpf_probe_read_str(event.user_agent, sizeof(event.user_agent), user_agent);
 
    // 发送事件到用户空间
    events.perf_submit(ctx, &event, sizeof(event));
 
    return 0;
}

这个程序使用了kprobe技术，在`tcp_v4_do_rcv`函数（负责接收TCP数据包）的入口点插入了一个探针。当有HTTP请求到达时，探针会提取User-Agent头的值，并将其发送到用户空间。

加载和运行eBPF程序： 使用eBPF工具提供的API，将编译好的eBPF程序加载到内核中，并开始运行。

例如，使用bcc加载和运行上面的eBPF程序：

 from bcc import BPF
 
# 加载eBPF程序
b = BPF(src_file="http_user_agent.c")
 
# 定义回调函数，处理来自内核的事件
def print_event(cpu, data, size):
    event = b["events"].event(data)
    print("PID: %d, User-Agent: %s" % (event.pid, event.user_agent.decode('utf-8')))
 
# 绑定回调函数到perf buffer
b["events"].open_perf_buffer(print_event)
 
# 循环读取事件
while True:
    try:
        b.perf_buffer_poll()
    except KeyboardInterrupt:
        exit()

这个Python脚本首先加载了eBPF程序，然后定义了一个回调函数`print_event`，用于处理来自内核的事件。最后，脚本循环读取事件，并将User-Agent头的值打印到控制台。

分析和处理监控数据： 收集到的HTTP请求头信息，需要进行分析和处理，才能发现潜在的安全威胁。你可以使用各种工具和技术，例如：
- 正则表达式： 用于匹配特定的模式，例如SQL注入攻击的特征。
- 机器学习： 用于训练模型，识别异常的HTTP请求头。
- 威胁情报： 用于匹配已知的恶意User-Agent或IP地址。
根据你的需求，选择合适的分析方法。我通常会结合多种方法，以提高检测的准确率。

eBPF监控HTTP请求头的优势

与传统的Web应用防火墙相比，使用eBPF监控HTTP请求头具有以下优势：

高性能： eBPF程序在内核中运行，避免了用户态和内核态之间的切换，性能损耗极小。
灵活性： 你可以自定义eBPF程序，监控任何你感兴趣的HTTP请求头，并执行各种操作。
安全性： eBPF程序在虚拟机中运行，受到内核的严格保护，不会对系统稳定性造成威胁。
实时性： eBPF程序可以实时地监控HTTP请求，并及时发现潜在的安全威胁。

eBPF监控HTTP请求头的局限性

虽然eBPF具有很多优势，但也存在一些局限性：

学习曲线： eBPF技术比较复杂，需要一定的学习成本。
开发难度： 编写eBPF程序需要一定的C语言基础和内核知识。
兼容性： eBPF技术依赖于Linux内核版本，不同的内核版本可能存在兼容性问题。

总结

eBPF是一种强大的技术，可以用来监控HTTP请求头，识别恶意行为，保护你的Web应用。虽然eBPF存在一些局限性，但随着技术的不断发展，相信这些问题会逐渐得到解决。

案例分享

我曾经使用eBPF成功地检测到一起SQL注入攻击。攻击者试图通过修改User-Agent头，向服务器发送恶意SQL代码。我编写了一个eBPF程序，监控User-Agent头，并使用正则表达式匹配SQL注入攻击的特征。当检测到恶意User-Agent时，程序会立即阻止该请求，并记录相关信息。

进阶思考

除了监控HTTP请求头，eBPF还可以用来监控其他类型的网络事件和系统事件。例如，你可以使用eBPF来监控：

TCP连接： 用于检测DDoS攻击和恶意扫描。
DNS查询： 用于检测恶意域名和僵尸网络。
文件访问： 用于检测恶意软件和数据泄露。
系统调用： 用于检测异常的应用程序行为。

希望这篇文章能够帮助你了解如何使用eBPF监控HTTP请求头，保护你的Web应用。如果你对eBPF技术感兴趣，可以深入研究相关的文档和示例，并尝试编写自己的eBPF程序。相信你会在eBPF的世界里发现更多的惊喜！

安全小黑 eBPF HTTP请求头 Web安全

	#include <uapi/linux/ptrace.h>
	#include <linux/socket.h>
	#include <net/sock.h>
	#include <linux/string.h>

	struct data_t {
	u32 pid;
	char user_agent[80];
	};

	BPF_PERF_OUTPUT(events);

	int kprobe__tcp_v4_do_rcv(struct pt_regs ctx, struct sk_buff skb) {
	struct sock *sk = skb->sk;
	u32 pid = bpf_get_current_pid_tgid();

	// 只处理HTTP请求
	if (sk->__sk_common.skc_port != 80) {
	return 0;
	}

	char *head = skb->head;
	char *data = skb->data;
	int len = skb->len;

	// 查找User-Agent头
	char *user_agent = strstr(data, "User-Agent:");
	if (user_agent == NULL) {
	return 0;
	}

	// 提取User-Agent头的值
	user_agent += strlen("User-Agent:");
	while (*user_agent == ' ') {
	user_agent++;
	}

	struct data_t event = {};
	event.pid = pid;
	bpf_probe_read_str(event.user_agent, sizeof(event.user_agent), user_agent);

	// 发送事件到用户空间
	events.perf_submit(ctx, &event, sizeof(event));

	return 0;
	}

	from bcc import BPF

	# 加载eBPF程序
	b = BPF(src_file="http_user_agent.c")

	# 定义回调函数，处理来自内核的事件
	def print_event(cpu, data, size):
	event = b["events"].event(data)
	print("PID: %d, User-Agent: %s" % (event.pid, event.user_agent.decode('utf-8')))

	# 绑定回调函数到perf buffer
	b["events"].open_perf_buffer(print_event)

	# 循环读取事件
	while True:
	try:
	b.perf_buffer_poll()
	except KeyboardInterrupt:
	exit()

用eBPF监控HTTP请求头：揪出恶意行为，保护你的Web应用

评论点评