เชธเชฟเชฎเซเชฌเชฟเช“เชŸ เช Linux เชฎเชพเชฒเชตเซ‡เชฐ เช›เซ‡ เชœเซ‡ เช›เซเชชเชพเชตเชตเชพ เชฎเชพเชŸเซ‡ eBPF เช…เชจเซ‡ LD_PRELOAD เชจเซ‹ เช‰เชชเชฏเซ‹เช— เช•เชฐเซ‡ เช›เซ‡

Intezer เช…เชจเซ‡ BlackBerry เชจเชพ เชธเช‚เชถเซ‹เชงเช•เซ‹เช เชธเชฟเชฎเซเชฌเชฟเช“เชŸ เช•เซ‹เชกเชจเซ‡เชฎ เชงเชฐเชพเชตเชคเชพ เชฎเชพเชฒเชตเซ‡เชฐเชจเซ€ เชถเซ‹เชง เช•เชฐเซ€ เช›เซ‡, เชœเซ‡เชจเซ‹ เช‰เชชเชฏเซ‹เช— Linux เชšเชฒเชพเชตเชคเชพ เชšเซ‡เชกเชพ เชธเชฐเซเชตเชฐเซเชธเชฎเชพเช‚ เชฌเซ‡เช•เชกเซ‹เชฐ เช…เชจเซ‡ เชฐเซ‚เชŸเช•เชฟเชŸเซเชธเชจเซ‡ เช‡เชจเซเชœเซ‡เช•เซเชŸ เช•เชฐเชตเชพ เชฎเชพเชŸเซ‡ เชฅเชพเชฏ เช›เซ‡. เช˜เชฃเชพ เชฒเซ‡เชŸเชฟเชจ เช…เชฎเซ‡เชฐเชฟเช•เชจ เชฆเซ‡เชถเซ‹เชฎเชพเช‚ เชจเชพเชฃเชพเช•เซ€เชฏ เชธเช‚เชธเซเชฅเชพเช“เชจเซ€ เชธเชฟเชธเซเชŸเชฎ เชชเชฐ เชฎเชพเชฒเชตเซ‡เชฐ เชฎเชณเซ€ เช†เชตเซเชฏเซ‹ เชนเชคเซ‹. เชธเชฟเชธเซเชŸเชฎ เชชเชฐ เชธเชฟเชฎเซเชฌเชฟเช“เชŸ เช‡เชจเซเชธเซเชŸเซ‹เชฒ เช•เชฐเชตเชพ เชฎเชพเชŸเซ‡, เชนเซเชฎเชฒเชพเช–เซ‹เชฐ เชชเชพเชธเซ‡ เชฐเซ‚เชŸ เชเช•เซเชธเซ‡เชธ เชนเซ‹เชตเซ€ เช†เชตเชถเซเชฏเช• เช›เซ‡, เชœเซ‡ เชฎเซ‡เชณเชตเซ€ เชถเช•เชพเชฏ เช›เซ‡, เช‰เชฆเชพเชนเชฐเชฃ เชคเชฐเซ€เช•เซ‡, เช…เชจเชชเซ‡เชšเซเชก เชจเชฌเชณเชพเชˆเช“ เช…เชฅเชตเชพ เชเช•เชพเช‰เชจเซเชŸ เชฒเซ€เช•เชจเชพ เชถเซ‹เชทเชฃเชจเชพ เชชเชฐเชฟเชฃเชพเชฎเซ‡. เชธเชฟเชฎเซเชฌเชฟเช“เชŸ เชคเชฎเชจเซ‡ เชตเชงเซ เชนเซเชฎเชฒเชพเช“ เช•เชฐเชตเชพ, เช…เชจเซเชฏ เชฆเซ‚เชทเชฟเชค เชเชชเซเชฒเชฟเช•เซ‡เชถเชจเซเชธเชจเซ€ เชชเซเชฐเชตเซƒเชคเซเชคเชฟเชจเซ‡ เช›เซเชชเชพเชตเชตเชพ เช…เชจเซ‡ เช—เซ‹เชชเชจเซ€เชฏ เชกเซ‡เชŸเชพเชจเชพ เช…เชตเชฐเซ‹เชงเชจเซ‡ เช—เซ‹เช เชตเชตเชพ เชฎเชพเชŸเซ‡ เชนเซ‡เช•เชฟเช‚เช— เชชเช›เซ€ เชธเชฟเชธเซเชŸเชฎเชฎเชพเช‚ เชคเชฎเชพเชฐเซ€ เชนเชพเชœเชฐเซ€เชจเซ‡ เชเช•เซ€เช•เซƒเชค เช•เชฐเชตเชพเชจเซ€ เชฎเช‚เชœเซ‚เชฐเซ€ เช†เชชเซ‡ เช›เซ‡.

เชธเชฟเชฎเซเชฌเชฟเช“เชŸเชจเซ€ เชเช• เชตเชฟเชถเซ‡เชท เชตเชฟเชถเซ‡เชทเชคเชพ เช เช›เซ‡ เช•เซ‡ เชคเซ‡ เชตเชนเซ‡เช‚เชšเชพเชฏเซ‡เชฒ เชฒเชพเช‡เชฌเซเชฐเซ‡เชฐเซ€เชจเชพ เชธเซเชตเชฐเซ‚เชชเชฎเชพเช‚ เชตเชฟเชคเชฐเชฟเชค เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซ‡ เช›เซ‡, เชœเซ‡ LD_PRELOAD เชชเชฆเซเชงเชคเชฟเชจเซ‹ เช‰เชชเชฏเซ‹เช— เช•เชฐเซ€เชจเซ‡ เชคเชฎเชพเชฎ เชชเซเชฐเช•เซเชฐเชฟเชฏเชพเช“เชจเชพ เชชเซเชฐเชพเชฐเช‚เชญ เชฆเชฐเชฎเชฟเชฏเชพเชจ เชฒเซ‹เชก เชฅเชพเชฏ เช›เซ‡ เช…เชจเซ‡ เชชเซเชฐเชฎเชพเชฃเชญเซ‚เชค เชฒเชพเช‡เชฌเซเชฐเซ‡เชฐเซ€เชฎเชพเช‚ เช•เซ‡เชŸเชฒเชพเช• เช•เซ‰เชฒเซเชธเชจเซ‡ เชฌเชฆเชฒเซ‡ เช›เซ‡. เชธเซเชชเซ‚เชซเซเชก เช•เซ‹เชฒ เชนเซ‡เชจเซเชกเชฒเชฐเซเชธ เชฌเซ‡เช•เชกเซ‹เชฐ-เชธเช‚เชฌเช‚เชงเชฟเชค เชชเซเชฐเชตเซƒเชคเซเชคเชฟเชจเซ‡ เช›เซเชชเชพเชตเซ‡ เช›เซ‡, เชœเซ‡เชฎ เช•เซ‡ เชชเซเชฐเช•เซเชฐเชฟเชฏเชพ เชธเซ‚เชšเชฟเชฎเชพเช‚ เชšเซ‹เช•เซเช•เชธ เช†เช‡เชŸเชฎเซเชธเชจเซ‡ เชฌเชพเช•เชพเชค เชฐเชพเช–เชตเซ€, /proc เชฎเชพเช‚ เช…เชฎเซเช• เชซเชพเช‡เชฒเซ‹เชจเซ€ เชเช•เซเชธเซ‡เชธเชจเซ‡ เช…เชตเชฐเซ‹เชงเชฟเชค เช•เชฐเชตเซ€, เชซเชพเช‡เชฒเซ‹เชจเซ‡ เชกเชฟเชฐเซ‡เช•เซเชŸเชฐเซ€เช“เชฎเชพเช‚ เช›เซเชชเชพเชตเชตเซ€, ldd เช†เช‰เชŸเชชเซเชŸเชฎเชพเช‚ เชฆเซ‚เชทเชฟเชค เชถเซ‡เชฐ เช•เชฐเซ‡เชฒเซ€ เชฒเชพเช‡เชฌเซเชฐเซ‡เชฐเซ€เชจเซ‡ เชฌเชพเช•เชพเชค เชฐเชพเช–เชตเซ€ (execve เชซเช‚เช•เซเชถเชจเชจเซ‡ เชนเชพเช‡เชœเซ‡เช• เช•เชฐเชตเซเช‚ เช…เชจเซ‡ เช•เซ‰เชฒเซเชธเชจเซเช‚ เชตเชฟเชถเซเชฒเซ‡เชทเชฃ เช•เชฐเชตเซเช‚. เชชเชฐเซเชฏเชพเชตเชฐเชฃ เชšเชฒ LD_TRACE_LOADED_OBJECTS) เชฆเซ‚เชทเชฟเชค เชชเซเชฐเชตเซƒเชคเซเชคเชฟ เชธเชพเชฅเซ‡ เชธเช‚เช•เชณเชพเชฏเซ‡เชฒ เชจเซ‡เชŸเชตเชฐเซเช• เชธเซ‹เช•เซ‡เชŸเซเชธ เชฌเชคเชพเชตเชคเชพ เชจเชฅเซ€.

เชŸเซเชฐเชพเชซเชฟเช• เช‡เชจเซเชธเซเชชเซ‡เช•เซเชถเชจ เชธเชพเชฎเซ‡ เชฐเช•เซเชทเชฃ เช†เชชเชตเชพ เชฎเชพเชŸเซ‡, libpcap เชฒเชพเช‡เชฌเซเชฐเซ‡เชฐเซ€ เชซเช‚เช•เซเชถเชจเซเชธเชจเซ‡ เชชเซเชจเชƒเชตเซเชฏเชพเช–เซเชฏเชพเชฏเชฟเชค เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซ‡ เช›เซ‡, /proc/net/tcp เชฐเซ€เชก เชซเชฟเชฒเซเชŸเชฐเชฟเช‚เช— เช…เชจเซ‡ eBPF เชชเซเชฐเซ‹เช—เซเชฐเชพเชฎ เช•เชฐเซเชจเชฒเชฎเชพเช‚ เชฒเซ‹เชก เชฅเชพเชฏ เช›เซ‡, เชœเซ‡ เชŸเซเชฐเชพเชซเชฟเช• เชตเชฟเชถเซเชฒเซ‡เชทเช•เซ‹เชจเชพ เชธเช‚เชšเชพเชฒเชจเชจเซ‡ เช…เชŸเช•เชพเชตเซ‡ เช›เซ‡ เช…เชจเซ‡ เชคเซ‡เชจเชพ เชชเซ‹เชคเชพเชจเชพ เชจเซ‡เชŸเชตเชฐเซเช• เชนเซ‡เชจเซเชกเชฒเชฐเซเชธเชจเซ‡ เชคเซƒเชคเซ€เชฏ-เชชเช•เซเชท เชตเชฟเชจเช‚เชคเซ€เช“เชจเซ‡ เช•เชพเชขเซ€ เชจเชพเช–เซ‡ เช›เซ‡. eBPF เชชเซเชฐเซ‹เช—เซเชฐเชพเชฎ เชชเซเชฐเชฅเชฎ เชชเซเชฐเซ‹เชธเซ‡เชธเชฐเซเชธเชฎเชพเช‚ เชฒเซ‹เชจเซเชš เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซเชฏเซ‹ เช›เซ‡ เช…เชจเซ‡ เชจเซ‡เชŸเชตเชฐเซเช• เชธเซเชŸเซ‡เช•เชจเชพ เชธเซŒเชฅเซ€ เชจเซ€เชšเชพ เชธเซเชคเชฐเซ‡ เชเช•เซเชเชฟเช•เซเชฏเซเชŸ เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซ‡ เช›เซ‡, เชœเซ‡ เชคเชฎเชจเซ‡ เชชเชพเช›เชณเชฅเซ€ เชฒเซ‰เชจเซเชš เช•เชฐเชพเชฏเซ‡เชฒเชพ เชตเชฟเชถเซเชฒเซ‡เชทเช•เซ‹ เชธเชนเชฟเชค เชฌเซ‡เช•เชกเซ‹เชฐเชจเซ€ เชจเซ‡เชŸเชตเชฐเซเช• เชชเซเชฐเชตเซƒเชคเซเชคเชฟเชจเซ‡ เช›เซเชชเชพเชตเชตเชพ เชฆเซ‡ เช›เซ‡.

เชธเชฟเชฎเซเชฌเชฟเช“เชŸ เชคเชฎเชจเซ‡ เชซเชพเช‡เชฒ เชธเชฟเชธเซเชŸเชฎเชฎเชพเช‚ เช•เซ‡เชŸเชฒเชพเช• เชชเซเชฐเชตเซƒเชคเซเชคเชฟ เชตเชฟเชถเซเชฒเซ‡เชทเช•เซ‹เชจเซ‡ เชฌเชพเชฏเชชเชพเชธ เช•เชฐเชตเชพเชจเซ€ เชชเชฃ เชฎเช‚เชœเซ‚เชฐเซ€ เช†เชชเซ‡ เช›เซ‡, เช•เชพเชฐเชฃ เช•เซ‡ เช—เซ‹เชชเชจเซ€เชฏ เชกเซ‡เชŸเชพเชจเซ€ เชšเซ‹เชฐเซ€ เชซเชพเช‡เชฒเซ‹ เช–เซ‹เชฒเชตเชพเชจเชพ เชธเซเชคเชฐเซ‡ เชจเชนเซ€เช‚, เชชเชฐเช‚เชคเซ เช•เชพเชฏเชฆเซ‡เชธเชฐ เชเชชเซเชฒเชฟเช•เซ‡เชถเชจเซเชธเชฎเชพเช‚ เช† เชซเชพเช‡เชฒเซ‹เชฎเชพเช‚เชฅเซ€ เชตเชพเช‚เชšเชตเชพเชจเซ€ เช•เซเชฐเชฟเชฏเชพเช“เชจเซ‡ เช…เชŸเช•เชพเชตเซ€เชจเซ‡ เช•เชฐเซ€ เชถเช•เชพเชฏ เช›เซ‡ (เช‰เชฆเชพเชนเชฐเชฃ เชคเชฐเซ€เช•เซ‡, เชฒเชพเช‡เชฌเซเชฐเซ‡เชฐเซ€เชจเซ€ เช…เชตเซ‡เชœเซ€. เชซเช‚เช•เซเชถเชจเซเชธ เชคเชฎเชจเซ‡ เชชเชพเชธเชตเชฐเซเชก เชฆเชพเช–เชฒ เช•เชฐเชคเชพ เช…เชฅเชตเชพ เชเช•เซเชธเซ‡เชธ เช•เซ€ เชธเชพเชฅเซ‡ เชซเชพเช‡เชฒ เชกเซ‡เชŸเชพเชฎเชพเช‚เชฅเซ€ เชฒเซ‹เชก เช•เชฐเชคเชพ เชตเชชเชฐเชพเชถเช•เชฐเซเชคเชพเชจเซ‡ เช…เชŸเช•เชพเชตเชตเชพเชจเซ€ เชฎเช‚เชœเซ‚เชฐเซ€ เช†เชชเซ‡ เช›เซ‡). เชฐเชฟเชฎเซ‹เชŸ เชฒเซ‹เช—เชฟเชจ เช—เซ‹เช เชตเชตเชพ เชฎเชพเชŸเซ‡, เชธเชฟเชฎเซเชฌเชฟเช“เชŸ เช•เซ‡เชŸเชฒเชพเช• PAM เช•เซ‹เชฒเซเชธ (เชชเซเชฒเช—เซ‡เชฌเชฒ เช“เชฅเซ‡เชจเซเชŸเชฟเช•เซ‡เชถเชจ เชฎเซ‹เชกเซเชฏเซเชฒ) เชจเซ‡ เช…เชŸเช•เชพเชตเซ‡ เช›เซ‡, เชœเซ‡ เชคเชฎเชจเซ‡ เชšเซ‹เช•เซเช•เชธ เชนเซเชฎเชฒเชพเช–เซ‹เชฐ เช“เชณเช–เชชเชคเซเชฐเซ‹ เชธเชพเชฅเซ‡ SSH เชฎเชพเชฐเชซเชคเซ‡ เชธเชฟเชธเซเชŸเชฎ เชธเชพเชฅเซ‡ เชœเซ‹เชกเชพเชตเชพ เชฎเชพเชŸเซ‡ เชชเชฐเชตเชพเชจเช—เซ€ เช†เชชเซ‡ เช›เซ‡. HTTP_SETTHIS เชชเชฐเซเชฏเชพเชตเชฐเชฃ เชตเซ‡เชฐเซ€เชเชฌเชฒ เชธเซ‡เชŸ เช•เชฐเซ€เชจเซ‡ เชฐเซ‚เชŸ เชตเชชเชฐเชพเชถเช•เชฐเซเชคเชพเชจเซ‡ เชคเชฎเชพเชฐเชพ เชตเชฟเชถเซ‡เชทเชพเชงเชฟเช•เชพเชฐเซ‹ เชตเชงเชพเชฐเชตเชพ เชฎเชพเชŸเซ‡ เชเช• เช›เซเชชเชพเชฏเซ‡เชฒ เชตเชฟเช•เชฒเซเชช เชชเชฃ เช›เซ‡.

เชธเชฟเชฎเซเชฌเชฟเช“เชŸ - Linux เชฎเชพเชฒเชตเซ‡เชฐ เชœเซ‡ เช›เซเชชเชพเชตเชตเชพ เชฎเชพเชŸเซ‡ eBPF เช…เชจเซ‡ LD_PRELOAD เชจเซ‹ เช‰เชชเชฏเซ‹เช— เช•เชฐเซ‡ เช›เซ‡


เชธเซ‹เชฐเซเชธ: opennet.ru

เชเช• เชŸเชฟเชชเซเชชเชฃเซ€ เช‰เชฎเซ‡เชฐเซ‹