// 函数原型

#include <sys/prctl.h>

int prctl(int option, unsigned long arg2, unsigned long arg3, unsigned long arg4, unsigned long arg5);

/* Get/set process seccomp mode */

    #define PR_GET_SECCOMP      21

    #define PR_GET_SECCOMP     22

/*

 * 用 22 时一般只允许 read、write、exit、sigereturn 函数执行

 * If no_new_privs is set, then operations that grant new privileges (i.e.

 * execve) will either fail or not grant them.  This affects suid/sgid,

 * file capabilities, and LSMs.

 *

 * Operations that merely manipulate or drop existing privileges (setresuid,

 * capset, etc.) will still work.  Drop those privileges if you want them gone.

 *

 * Changing LSM security domain is considered a new privilege.  So, for example,

 * asking selinux for a specific new context (e.g. with runcon) will result

 * in execve returning -EPERM.

 *

 * See Documentation/userspace-api/no_new_privs.rst for more details.

 */

#define PR_SET_NO_NEW_PRIVS    38

#define PR_GET_NO_NEW_PRIVS    39

// 为 38 时一般禁用 execve

#include<stdio.h>

#include<fcntl.h>

#include<unistd.h>

#include<stddef.h>

#include<linux/seccomp.h>

#include<linux/filter.h>

#include<sys/prctl.h>    

#include<linux/bpf.h>             //off 和 imm 都是有符号类型，编码信息定义在内核头文件 linux/bpf.h

#include<sys/types.h>

int main()

{

        struct sock_filter filter[]={  // 结构体数组

                BPF_STMT(BPF_LD|BPF_W|BPF_ABS, 0),   // 从第 0 个字节开始，传送 4 个字节

                BPF_JUMP(BPF_JMP|BPF_JEQ, 59, 1, 0), // 比较是否为 59（execve 的系统调用号），是就跳过下一行（进入到下面的异常处理），如果不是，就执行下一行，第三个参数表示执行正确的指令跳转，第四个参数表示执行错误的指令跳转

                BPF_JUMP(BPF_JMP|BPF_JGE, 0, 1, 0),

        //      BPF_STMP(BPF_RET+BPF_K,SECCOMP_RET_KILL),

        //        杀死一个进程

        //        BPF_STMP(BPF_RET+BPF_K,SECCOMP_RET_TRACE),

        //        父进程追踪子进程，具体没太搞清楚

                 BPF_STMT(BPF_RET+BPF_K,SECCOMP_RET_ERRNO),

        //        异常处理

                BPF_STMT(BPF_RET+BPF_K,SECCOMP_RET_ALLOW),

        //        这里表示系统调用如果正常，允许系统调用

        };

        struct sock_fprog prog={

                .len=sizeof(filter)/sizeof(sock_filter[0]),

                .filter=filter,

        };

        prctl(PR_SET_NO_NEW_PRIVS,1,0,0,0);

        prctl(PR_SET_SECCOMP,SECCOMP_MODE_FILTER,&prog);// 第一个参数是进行什么设置，第二个参数是设置的过滤模式，第三个参数是设置的过滤规则

        puts("123");

        return 0;

}

struct sock_filter {            /* Filter block */

    __u16 code;                 /* Actual filter code,bpf 指令码

    __u8  jt;                   /* Jump true */

    __u8  jf;                   /* Jump false */

    __u32 k;                    /* Generic multiuse field */

};

//seccomp-data 结构体记录当前正在进行 bpf 规则检查的系统调用信息

struct seccomp_data{

    int nr;// 系统调用号

    __u32 arch;// 调用架构

    __u64 instruction_pointer;//CPU 指令指针

    __u64 argv[6];// 寄存器的值，x86 下是 ebx，exc,edx,edi,ebp;x64 下是 rdi,rsi,rdx,r10,r8,r9

}

__int64 sandbox()

{

  // 两个重要的宏，SCMP_ACT_ALLOW (0x7fff0000U) SCMP_ACT_KILL ( 0x00000000U)

  //seccomp_init 初始化，参数为 0 表示白名单模式，即没有匹配到规则的系统调用都会杀死进程，默认不允许所有的 syscall

  // 参数为 0x7fff0000U 则为黑名单模式，在名单里的会被杀死

  v1 = seccomp_init(0LL);

  if ( !v1 )    // 初始化失败，v1<=0

  {

    puts("seccomp error");

    exit(0);

  }

  //seccomp_rule_add 添加规则

  //v1 对应上面初始化的返回值

  // 0x7fff0000 即对应宏 SCMP_ACT_ALLOW（黑名单）

  // 第三个参数代表对应的系统调用号，0-->read/1-->write/2-->open/60-->exit

  // 第四个参数表示是否需要对对应系统调用的参数做出限制以及指示做出限制的个数，传 0 不做任何限制

  seccomp_rule_add(v1, 0x7FFF0000LL, 2LL, 0LL);

  seccomp_rule_add(v1, 0x7FFF0000LL, 0LL, 0LL);

  seccomp_rule_add(v1, 0x7FFF0000LL, 1LL, 0LL);

  seccomp_rule_add(v1, 0x7FFF0000LL, 60LL, 0LL);

  seccomp_rule_add(v1, 0x7FFF0000LL, 231LL, 0LL);

  // seccomp_load - Load the current seccomp filter into the kernel

  if ( seccomp_load(v1) < 0 )  //load 成功则返回 0，这里 load 失败会执行 if 内部函数

  {

  	// seccomp_release - Release the seccomp filter state

  	// 但对已经 load 的过滤规则不影响

    seccomp_release(v1);

    puts("seccomp error");

    exit(0);

  }

  return seccomp_release(v1);  释放

}

#include <seccomp.h>

typedef void * scmp_filter_ctx;

int seccomp_load(scmp_filter_ctx ctx);

Link with -lseccomp.

int seccomp_rule_add(scmp_filter_ctx ctx,

             uint32_t action, int syscall, unsigned int arg_cnt, ...);