主页 / computer / 问题 / 1527617
Accepted
Rob D
Asked: 2020-02-23 08:54:10 +0800 CST

从文件加载 seccomp 规则

  • 772

我正在尝试实现一个简单的容器。我希望用户能够在 profile.json 文件中指定列入白名单的系统调用。

profile.json 文件的示例内容：

{
"whitelisted_syscalls": ["read", "exit", "write", "accept"],
}

然后我的应用程序只会解析这个文件并根据内容启用/禁用系统调用。

问题是seccomp_rule_add期望用户使用SCMP_SYS宏。例如，为了允许read系统调用，我通常会调用：

seccomp_rule_add(filter, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);

并且SCMP_SYS(read)会根据架构展开为整数。

docker json

1 个回答

  1. Best Answer

    libseccomp 使用系统调用号；即使它没有要求您使用 SCMP_SYS()，您仍然需要使用宏，__NR_read而不是文本名称。

    但是，您可以使用seccomp_syscall_resolve_name () 在运行时执行从系统调用名称到数字的转换。

    （请注意，包括 32 位 x86 在内的某些架构在开始给它自己的编号之前，会在多路复用的“socketcall”系统调用之后隐藏 accept()。）

    • 1

相关问题