背景
eBPF学习,环境是在pixel6上面。之前隐藏进程的程序会导致手机卡死。今天再次去看资料的时候发现:https://github.com/eunomia-bpf/bpf-developer-tutorial
在这个GitHub项目中也有一个进程隐藏的案例,继续学习学习。下面的代码中包括了官方注释和一些自己理解的笔记,如果有错误,欢迎评论区讨论。
环境要求:
1、pixel6设备Android13。
2、内核已经开启FTRACT,BTF等配置
3、已经root,配置eadb环境(具体可以看我之前的环境配置)
4、上面的项目仓库只针对x86_64平台,现在在arm64上面需要修复错误。
项目代码增加注释
主要原理是这样的:
要实现进程隐藏,关键在于操作 /proc/
目录。在 Linux 中,getdents64
系统调用可以读取目录下的文件信息。我们可以通过挂接这个系统调用,修改它返回的结果,从而达到隐藏文件的目的。实现这个功能需要使用到 eBPF 的 bpf_probe_write_user
功能,它可以修改用户空间的内存,因此能用来修改 getdents64
返回的结果。
内核态程序
也就是pidhide.bpf.c
// SPDX-License-Identifier: BSD-3-Clause