之前通过修改内核插桩并编写内核模块的方式hookdo_sys_open函数（这种方式有点像tracepoint，都属于静态探测），这种方式优点是可以hook内核中的任意函数，但是需要编译内核和驱动模块较为麻烦。
eBPF相当于在内核中定义了一个虚拟机，能够加载eBPF字节码并依赖kprobe,uprobe,tracepoint实现内核层以及用户层函数的hook。每次更新hook代码不需要重新编译内核，只需要编写新的eBPF程序生成新的eBPF字节码。缺点是eBPF程序有很多限制，包括堆栈大小限制，内核函数调用限制（只能通过BPF Helper函数调用部分内核函数）等。同时在android平台上的开发编译和部署也是不太成熟，eBPF程序开发和部署相关参考https://github.com/eunomia-bpf/bpf-developer-tutorial/blob/main/src/0-introduce/README.md
目前最常用的的eBPF开发就是使用BCC，BCC全称为BPF Compiler Collection，该项目是一个python库，包含了完整的编写、编译、和加载BPF程序的工具链。可以使用c编写内核部分代码并使用python加载和解析输出，环境搭建参考https://bbs.kanxue.com/thread-275176.htm#msg_header_h1_5，https://cloud.tencent.com/developer/article/2312646
BCC官方开发教程https://github.com/iovisor/bcc/blob/master/docs/reference_guide.md#2-attach_kretprobe，https://github.com/iovisor/bcc/blob/master/docs/tutorial_bcc_python_developer.md，官方也提供了很多小工具作为例子。
参考官方文档编写一个文件重定位的BCC脚本，使用的pixel6内核是Linux 5.10，查看内核代码中open，openat和openat2系统调用最后的实现都是do_sys_openat2。对do_sys_openat2函数进行hook并修改参数即可实现文件重定位。
BCC脚本如下：
import argparse
from bcc import BPF
# define BPF program
prog = """
#include <uapi/linux/ptrace.h>
#include <linux/sched.h>
struct openat_entry_info {
u32 pid;
u64 time;
char filename[NAME_MAX];
char comm[TASK_COMM_LEN];
};
struct openat_filter_info {
int fd;
u32 pid;
u64 time;
char filename[NAME_MAX];
char comm[TASK_COMM_LEN];
};
//key : pid_tid
BPF_HASH(entry_info, u64, struct openat_entry_info);
int pre_openat(struct pt_regs *ctx, int dfd, const char __user *filename, struct open_how *how) {
struct openat_entry_info _info = {};
u64 pid_tid = bpf_get_current_pid_tgid();
_info.pid = pid_tid >> 32;
_info.time = bpf_ktime_get_ns();
if(bpf_get_current_comm(&_info.comm, sizeof(_info.comm)) != 0){
return 0;
}
if(bpf_probe_read(&_info.filename, sizeof(_info.filename), (void*)PT_REGS_PARM2(ctx)) < 0){
return 0;
}
entry_info.update(&pid_tid, &_info);
size_t filename_len;
for (filename_len = 0; filename_len < NAME_MAX; filename_len++) {
if (_info.filename[filename_len] == '\\0') {
break;
}
}
size_t num = 0;
char hide_file[] = "HIDE_FILE_NAME";
if(strlen(hide_file) == filename_len){
for(int i = 0; i < filename_len; i++){
if(hide_file[i] == _info.filename[i]){
num++;
}
else{
break;
}
}
if(num == strlen(hide_file)){
char relocate_file[] = "RELOCATE_FILE_NAME";
bpf_probe_write_user((void*)filename, relocate_file, sizeof(relocate_file));
bpf_trace_printk("Hello, World : %s!\\n", relocate_file);
}
}
return 0;
}
BPF_PERF_OUTPUT(openat_filter_events);
int post_openat(struct pt_regs *ctx) {
struct openat_filter_info filter_info = {};
u64 pid_tid = bpf_get_current_pid_tgid();
struct openat_entry_info* p_info;
p_info = entry_info.lookup(&pid_tid);
if(p_info == 0){
return 0;
}
filter_info.fd = PT_REGS_RC(ctx);
filter_info.pid = p_info->pid;
filter_info.time = p_info->time;
bpf_probe_read_kernel(&filter_info.comm, sizeof(filter_info.comm), p_info->comm);
bpf_probe_read_kernel(&filter_info.filename, sizeof(filter_info.filename), p_info->filename);
openat_filter_events.perf_submit(ctx, &filter_info, sizeof(filter_info));
entry_info.delete(&pid_tid);
return 0;
}
"""
# Get args
parser = argparse.ArgumentParser(description="file relocate by bcc")
parser.add_argument("--hide", type=str)
parser.add_argument("--relocate", type=str)
args = parser.parse_args()
prog = prog.replace("HIDE_FILE_NAME", args.hide)
prog = prog.replace("RELOCATE_FILE_NAME", args.relocate)
# load BPF program
b = BPF(text=prog)
b.attach_kprobe(event="do_sys_openat2", fn_name="pre_openat")
b.attach_kretprobe(event="do_sys_openat2", fn_name="post_openat")
# read events
def print_openat_filter(cpu, data, size):
event = b["openat_filter_events"].event(data)
print("%-10d %-32s %-6d %-32s" % (event.pid, event.comm, event.fd, event.filename))
b["openat_filter_events"].open_perf_buffer(print_openat_filter)
while True:
try:
b.perf_buffer_poll()
except KeyboardInterrupt:
exit()
在手机的BCC环境中运行脚本python relocate_file.py --hide /data/local/tmp/as --relocate /tmp/234234234，将/data/local/tmp/as文件重定位到一个不存在的文件/tmp/234234234
