如何用eBPF揪出内存里的“内鬼”？恶意代码行为检测实战

eBPF：安全分析师的新利器？

各位安全大佬，大家好！今天咱们聊点硬核的——如何利用 eBPF 这把瑞士军刀，在内存里揪出那些搞破坏的“内鬼”。别误会，我不是要教你写病毒，而是要教你如何像福尔摩斯一样，通过分析进程的内存访问模式，来检测恶意代码注入、内存篡改等高危行为。想象一下，你的服务器就像一个戒备森严的城堡，但总有一些狡猾的黑客试图通过秘密通道潜入。eBPF，就是你部署在这些秘密通道上的监控探头，时刻警惕着任何可疑的举动。

为什么是 eBPF？

你可能会问，市面上那么多安全工具，为啥偏偏要用 eBPF？原因很简单：

1. 性能怪兽：eBPF 运行在内核态，能以接近原生的速度处理事件，几乎不影响系统性能。这对于需要实时监控的场景至关重要。
2. 灵活定制：你可以根据自己的需求，编写 eBPF 程序来监控各种事件，例如函数调用、系统调用、网络数据包等等。这种灵活性是其他工具无法比拟的。
3. 深入洞察：eBPF 可以访问内核的各种数据结构，让你能够深入了解系统的运行状态，发现隐藏的恶意行为。
4. 无需修改内核：最关键的是，使用 eBPF 不需要修改内核源码，避免了引入新的安全风险。

实战演练：揪出内存里的“内鬼”

接下来，咱们通过一个具体的例子，来演示如何使用 eBPF 检测进程的内存访问模式，从而揪出那些试图进行代码注入或内存篡改的“内鬼”。

场景设定：

假设我们的目标是监控一个名为 vulnerable_app 的进程。这个进程存在一个漏洞，攻击者可以利用该漏洞向其注入恶意代码，篡改内存数据。

准备工作：

1. 安装 eBPF 工具链：确保你的系统已经安装了 bcc、libbpf 等 eBPF 开发工具链。这些工具可以帮助你编写、编译和加载 eBPF 程序。
2. 了解目标进程：你需要对 vulnerable_app 进程的内存布局有一定的了解，例如代码段、数据段、堆栈的位置等。可以使用 pmap、objdump 等工具来获取这些信息。

编写 eBPF 程序：

下面是一个简单的 eBPF 程序示例，它可以监控 vulnerable_app 进程的内存写操作，并记录下写操作的地址、大小和时间戳：

#include <linux/kconfig.h>
#include <linux/ptrace.h>
#include <linux/version.h>
 
#if (LINUX_VERSION_CODE >= KERNEL_VERSION(4, 15, 0))
#include <uapi/linux/bpf.h>
#else
#include <linux/bpf.h>
#endif
 
#include <linux/sched.h>
 
struct data_t {
    u32 pid;
    u64 addr;
    u64 size;
    u64 ts;
    char comm[TASK_COMM_LEN];
};
 
BPF_PERF_OUTPUT(events);
 
int kprobe__do_wp_page(struct pt_regs *ctx, struct vm_area_struct *vma, unsigned long addr)
{
    struct data_t data = {};
 
    struct task_struct *task = (struct task_struct *)PT_REGS_PARM1(ctx);
 
    // Get the process ID and command name
    data.pid = task->pid;
    bpf_get_current_comm(&data.comm, sizeof(data.comm));
 
    // Get the address being written to
    data.addr = addr;
 
    // Get the size of the write (this might require further investigation based on the context)
    // For simplicity, we're assuming a single byte write for now
    data.size = 1;  // This is a simplification and may not be accurate in all cases
 
    // Get the timestamp
    data.ts = bpf_ktime_get_ns();
 
    // Filter by process name
    if (strcmp(data.comm, "vulnerable_app") != 0) {
        return 0;  // Ignore other processes
    }
 
    // Submit the event
    events.perf_submit(ctx, &data, sizeof(data));
 
    return 0;
}

代码解释：

• kprobe__do_wp_page：这是一个 kprobe，它会在 do_wp_page 函数被调用时触发。do_wp_page 函数是 Linux 内核中处理写时复制（copy-on-write）的关键函数，任何对内存页的写操作最终都会调用它。
• struct data_t：这个结构体用于存储我们感兴趣的数据，包括进程 ID、内存地址、写入大小和时间戳。
• BPF_PERF_OUTPUT(events)：这定义了一个 perf 事件输出，用于将收集到的数据发送到用户空间。
• bpf_get_current_comm：这个函数用于获取当前进程的命令名。
• events.perf_submit：这个函数用于将数据提交到 perf 事件输出。

编译和加载 eBPF 程序：

将上面的代码保存为 memory_monitor.c，然后使用 bcc 提供的工具进行编译：

/usr/share/bcc/tools/mkpyset memory_monitor.c

编译成功后，会生成一个名为 memory_monitor.py 的 Python 脚本，用于加载和运行 eBPF 程序。

运行 eBPF 程序：

运行 memory_monitor.py 脚本，开始监控 vulnerable_app 进程的内存写操作：

sudo ./memory_monitor.py

分析输出结果：

运行 memory_monitor.py 后，它会将收集到的内存写操作信息打印到终端。你需要仔细分析这些信息，找出可疑的模式。

例如，如果发现某个地址被频繁写入，或者写入的数据看起来像是恶意代码，那么就可能存在代码注入或内存篡改行为。

示例输出：

PID    COMM             ADDR             SIZE     TS
1234   vulnerable_app   0x7f1234567890   1        1678886400000
1234   vulnerable_app   0x7f1234567891   1        1678886400001
1234   vulnerable_app   0x400000 + 0x1020   1        1678886400002

进阶分析：

仅仅监控内存写操作是不够的，你还需要结合其他信息进行综合分析，才能更准确地判断是否存在恶意行为。

• 代码段写操作：通常情况下，代码段应该是只读的。如果发现代码段被写入，那么很可能存在代码注入行为。
• 堆栈溢出：如果发现堆栈上的数据被覆盖，那么可能存在堆栈溢出漏洞。
• 函数调用链：通过分析函数调用链，可以了解内存写操作的上下文，从而判断其是否可疑。
• 数据完整性：可以计算关键数据的哈希值，并在每次写入后进行校验，以检测数据是否被篡改。

防御策略

检测到恶意行为后，你需要采取相应的防御策略，以阻止攻击者进一步入侵。

• 隔离受感染进程：立即停止并隔离受感染的进程，防止其扩散到其他系统。
• 修复漏洞：尽快修复 vulnerable_app 进程中存在的漏洞，防止攻击者再次利用。
• 加固系统：加强系统的安全配置，例如启用防火墙、安装入侵检测系统等。
• 更新安全策略：根据新的威胁情报，及时更新安全策略，提高系统的整体防御能力。

注意事项

• 性能开销：eBPF 程序虽然性能很高，但仍然会带来一定的性能开销。在生产环境中，需要 тщательно 评估其对系统性能的影响。
• 安全风险：eBPF 程序运行在内核态，如果编写不当，可能会导致系统崩溃或安全漏洞。因此，需要进行充分的测试和验证。
• 内核版本兼容性：不同的内核版本可能存在差异，需要针对不同的内核版本编写不同的 eBPF 程序。
• 权限问题：运行 eBPF 程序需要 root 权限，需要谨慎管理权限，防止被滥用。

总结

eBPF 是一把强大的安全分析工具，可以帮助你深入了解系统的运行状态，检测恶意代码注入、内存篡改等高危行为。但是，eBPF 也存在一定的风险，需要谨慎使用。希望通过本文的介绍，你能对 eBPF 有更深入的了解，并将其应用到实际的安全分析工作中。

记住，安全是一个持续不断的过程，需要不断学习和探索新的技术，才能更好地保护我们的系统免受攻击。

各位大佬，下次见！

更多思考

除了内存监控，eBPF 还能在哪些安全场景下发挥作用？例如：

• 网络流量分析：监控网络数据包，检测恶意流量和攻击行为。
• 系统调用监控：监控系统调用，检测恶意程序的行为模式。
• 文件系统监控：监控文件系统的访问，检测恶意文件的创建和修改。
• 容器安全：监控容器的运行状态，检测容器逃逸和恶意容器。

欢迎各位大佬在评论区分享你的想法和经验！