نام (NAME)

setuids.bt - ردیابی فراخوانی‌های سیستمی setuid با bpftrace

خلاصه دستور (SYNOPSIS)

setuids.bt

توضیحات (DESCRIPTION)

این ابزار ارتقای دسترسی (privilege escalation) را از طریق فراخوانی‌های سیستمی setuid ردیابی می‌کند و می‌تواند برای اشکال‌زدایی، ایجاد فهرست مجاز (whitelist) و تشخیص نفوذ به کار رود.

این ابزار با استفاده از نقاط ردیابی فراخوانی‌های سیستمی (syscall tracepoints)، فراخوانی‌های سیستمی setuid(2)، setfsuid(2) و retresuid(2) را ردیابی می‌کند.

از آنجا که این ابزار از BPF استفاده می‌کند، تنها کاربر ریشه (root) می‌تواند از آن استفاده کند.

پیش‌نیازها (REQUIREMENTS)

CONFIG_BPF و bpftrace.

مثال‌ها (EXAMPLES)

ردیابی فراخوانی‌های سیستمی setuid:: # setuids.bt

فیلدها (FIELDS)

PID: شناسه فرایند (PID) فراخواننده.
COMM: نام فرایند (رشته) فراخواننده.
UID: شناسه کاربری (UID) فراخواننده.
SYSCALL: نام فراخوانی سیستمی.
ARGS: آرگومان‌های فراخوانی سیستمی.
(RET): مقدار بازگشتی فراخوانی سیستمی: 0 == موفقیت، سایر اعداد نشان‌دهنده کد خطا هستند.