deny-af-alg-bpf

الوصف

برنامج BPF LSM يمنع إنشاء مآخذ AF_ALG (واجهة برمجة التشفير في نواة لينكس) ويسجّل جميع المحاولات عبر حلقة تخزين مؤقت (ring buffer) إلى مساحة المستخدم.

ماذا يفعل

• يرتبط بخطاف lsm/socket_create
• يرفض أي استدعاء socket(AF_ALG, ...) مع -EPERM
• يُصدر أحداثًا منظمة (pid, comm) إلى حلقة تخزين مؤقت BPF
• يقرأ برنامج مساحة المستخدم الحلقة المؤقتة ويسجّل إلى stderr (يُستهلك بواسطة سجل systemd)

المكونات

البرامج

• deny_af_alg.bpf.c - منطق الحظر الرئيسي، يعمل في bpf (مساحة النواة)
• deny_af_alg.user.c - برنامج مساحة المستخدم
  • تحميل برنامج bpf
  • الاتصال بحلقة التخزين المؤقت المكشوفة
  • الحصول على معلومات حول الوصول المرفوض وتسجيلها إلى stdout

Systemd

• deny-af-alg.service - الخدمة الرئيسية، تحتوي على تطبيق مساحة المستخدم وبرنامج bpf
• deny-af-alg-bpf.service - خدمة قديمة، تعمل عبر bpftool، لا تحتوي على تسجيل

معلومات إصلاح CVE

يعالج برنامج eBPF هذا CVE-2026-31431. يحل الثغرة الأمنية عن طريق تقييد الوصول إلى مآخذ التشفير

المتطلبات

تحتاج إلى bpf في lsm

#cat /sys/kernel/security/lsm
lockdown,capability,yama,selinux,bpf

البناء

ملاحظة حول vmlinux.h: يتم إنشاء vmlinux.h على جهاز البناء.

إذا كنت تستهدف نواة مختلفة، أعد إنشاءه على الجهاز الهدف قبل البناء:

root@kitploit:~

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h

البناء عبر makefile

make

تُوضع نواتج البناء في جذر المشروع:

التشغيل عبر سطر الأوامر

sudo ./deny_af_alg

المخرجات

Listening for AF_ALG socket create attempts... (Ctrl-C to stop)
BLOCKED pid=12345  comm=python3

التشغيل عبر systemd

انسخ ملف deny-af-alg.service والملف الثنائي إلى الجهاز الهدف.

شغّل عبر systemd

systemctl start deny-af-alg.service

تشغيل برنامج bpf فقط يدويًا عبر bpftool

bpftool prog loadall deny_af_alg.bpf.o /sys/fs/bpf/deny_af_alg autoattach

أوامر إضافية

التحضير

dnf install -y bpftool libbpf-devel clang llvm kernel-devel

الترجمة

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h
clang -O2 -g -target bpf -D__TARGET_ARCH_x86 -I/usr/include/bpf -c deny_af_alg.bpf.c -o deny_af_alg.bpf.o

التحقق

bpftool prog list | grep deny_af_alg
sudo cat /sys/kernel/debug/tracing/trace_pipe