SunnyDayBPF Hook Points
                      ========================

### 系统调用覆盖

| Syscall | 内核钩子 | 参数提取 | 覆盖范围 |
|---------|------------|----------------|----------|
| `read()` | `ksys_read` | `PT_REGS_PARM2`（直接） | 文件读取、管道、`/proc`、日志文件 |
| `pread64()` | `__x64_sys_pread64` | 通过 `bpf_probe_read_kernel` 读取嵌套的 `pt_regs`（偏移量 104/RSI） | 随机访问文件读取、journald |
| `recvfrom()` | `__sys_recvfrom` | `PT_REGS_PARM2`（直接） | 网络套接字、syslog 转发 |

### BPF 验证器约束

BPF 验证器强制每个程序最多 8,192 个条件分支的跳转序列限制。SunnyDayBPF 通过以下方式绕过此限制：

- **BPF 尾调用**（`BPF_PROG_ARRAY`）：31 条规则分布在 10 个独立程序中，每个程序都有自己的验证器预算
- **不区分大小写优化**：`(d[i]|32)==lower` 将字母字符的每字节跳转次数从 2 减少到 1
- **动态扫描限制**：每个组的扫描窗口计算为 `min(BUF_SIZE - max_pat, 7800 / jumps_per_iter)`，以保持在验证器限制内
- **每 CPU 数组**：`BPF_PERCPU_ARRAY` 用于临时缓冲区和扫描状态，在尾调用的程序之间共享

---

## 概述

现代 Linux 安全系统通常依赖用户空间代理，从文件、套接字、管道、API、内核接口或事件流中收集遥测数据。

这些代理可以将遥测数据转发到：

- SIEM 平台
- EDR/XDR 后端
- 审计管道
- 日志收集器
- 运行时安全引擎
- 检测工程系统
- 可观测性平台

一个常见的假设是：```text
actual system behavior == collected telemetry == observed security data

---

## 技术定义

SunnyDayBPF 是一种后系统调用遥测欺骗技术，研究对选定的遥测消费进程所属的用户空间缓冲区进行操纵。

从高层来看，该技术遵循以下模型：```text
sys_enter_*:
    identify a target telemetry-consuming process
    record the user-space buffer pointer involved in the read-like operation

sys_exit_*:
    verify that the read-like operation completed successfully
    inspect the returned user-space buffer
    selectively alter telemetry-relevant content
    verify write success via read-back
    allow the target process to continue execution normally

以及：

``````text
what the monitoring agent later observes, parses, and forwards

### 哪些不易受攻击

| 工具 | 原因 | 说明 |
|------|-----|-------------|
| **Cilium Tetragon** | 内核空间执行 | 策略决策和终止/拒绝操作在 eBPF 程序内部完成，发生在数据到达用户空间之前 |
| **Tracee (Aqua)** | 内核空间检测 | 事件过滤及部分检测逻辑在内核 eBPF 程序中运行 |
| **内核审计模块** | 内核空间日志记录 | 审计记录在内核中生成；尽管 auditd 守护进程通过 `read()` 读取它们（该阶段存在漏洞） |

---

## 脱敏规则（31 条生效）

### 安全告警关键字（8 条规则）

| 模式 | 替换为 | 不区分大小写 | 效果 |
|---------|------------|-------------------|--------|
| `exploit` | `nominal` | 是 | 掩盖漏洞利用告警 |
| `malware` | `cleaner` | 是 | 掩盖恶意软件检测 |
| `backdoor` | `maindoor` | 是 | 掩盖后门引用 |
| `rootkit` | `toolkit` | 是 | 掩盖 rootkit 检测 |
| `trojan` | `module` | 是 | 掩盖木马告警 |
| `overflow` | `dataflow` | 是 | 掩盖缓冲区溢出事件 |
| `payload` | `dataset` | 是 | 掩盖载荷投递 |
| `shellcode` | `usercode ` | 是 | 掩盖 shellcode 执行 |

### 严重性降级（5 条规则）

| 模式 | 替换为 | 效果 |
|---------|------------|--------|
| `critical` | `debug   ` | SIEM 看到的是 debug 而不是 critical |
| `emergency` | `debug    ` | 紧急事件变为 debug |
| `alert` | `info ` | 告警级别变为信息级别 |
| `warning` | `notice ` | 警告降级为通知 |
| `error` | `debug` | 错误事件变为 debug |

### 敏感路径（4 条规则）

| 模式 | 替换为 | 效果 |
|---------|------------|--------|
| `/etc/shadow` | `/etc/sunshn` | 隐藏 shadow 文件访问 |
| `/etc/passwd` | `/etc/sunshn` | 隐藏 passwd 文件访问 |
| `/etc/sudoers` | `/etc/sudhelp` | 隐藏 sudoers 访问 |
| `/proc/self` | `/proc/init` | 隐藏进程自检 |

### 认证/凭据（5 条规则）

| 模式 | 替换为 | 效果 |
|---------|------------|--------|
| `password` | `SUNNYDAY` | 掩盖密码引用 |
| `passwd` | `sunshn` | 掩盖 passwd 引用 |
| `secret` | `public` | 掩盖秘密/令牌数据 |
| `token=` | `clean=` | 掩盖令牌参数 |
| `api_key` | `app_cfg` | 掩盖 API 密钥引用 |

### 网络指标（3 条规则）

| 模式 | 替换为 | 效果 |
|---------|------------|--------|
| `0.0.0.0` | `1.2.3.4` | 掩盖绑定所有地址 |
| `reverse` | `forward` | 掩盖反向 shell/连接引用 |
| `C2` | `UP` | 掩盖 C2 通信指标 |

### 进程/执行（4 条规则）

| 模式 | 替换为 | 效果 |
|---------|------------|--------|
| `/bin/sh` | `/bin/ls` | 掩盖 shell 执行 |
| `/bin/bash` | `/bin/dash` | 掩盖 bash 执行 |
| `chmod 777` | `chmod 644` | 掩盖权限变更 |
| `wget ` | `curl ` | 掩盖下载工具使用 |

### 自定义（2 条规则）

| 模式 | 替换为 | 效果 |
|---------|------------|--------|
| `config_change` | `sunny_day    ` | 掩盖配置变更 |
| `milenium` | `SUNNYDAY` | 研究标记 |

---

## 动态测试结果（v2.1）

已在 Linux 6.8.0-111-generic 上使用 BCC 0.29.1 进行测试。

### 规则覆盖```text
Test: All 31 rules at offset 0
Result: 31/31 PASS (100%)
Verification: 127 writes, 127 verified, 0 failures (100%)

### 跨系统调用测试```text
Payload: "rootkit found at /bin/bash with password leak"

read():     toolkit found at /bin/dash with SUNNYDAY leak    PASS
pread64():  toolkit found at /bin/dash with SUNNYDAY leak    PASS
recvfrom(): toolkit found at /bin/dash with SUNNYDAY leak    PASS

SunnyDayBPF 研究流程：```text
System activity
      |
Telemetry source
      |
Monitoring agent reads data
      |
Post-syscall user-buffer manipulation
      |
Agent parses altered data
      |
Detection logic receives modified telemetry
      |
SIEM / EDR / audit backend observes misleading data

一个次要问题：```text
How much do modern telemetry pipelines trust data after it has entered
user-space collectors?

他们还应该询问：```text
Can I trust the path through which I observed the event?

SunnyDayBPF 探索了一种不同的模型：```text
allow the event to occur
allow the monitoring process to read data
alter the observation before processing
cause downstream systems to trust modified telemetry

---

## 威胁模型

SunnyDayBPF 假定处于受控且经授权的研究环境中。

该技术适用于以下环境：

- Linux 遥测数据被视作可信的事实来源
- 用户空间代理收集安全相关数据
- 监控组件使用类 read 的 syscall 路径
- 下游系统信任代理转发的遥测数据
- 检测逻辑假定数据在收集后保持完整性
- 主机上具备 eBPF 能力
- 遥测关联性较弱或仅单一数据源

范围之外：

- 未经授权的部署
- 生产环境滥用
- 持久化
- 凭据窃取
- 破坏性活动
- 未经许可测试第三方系统
- 在授权实验室之外绕过安全工具

---

## 研究范围

SunnyDayBPF 聚焦于以下两者之间的信任边界：```text
kernel-provided or source-provided data

研究范围包括：

- 读路径遥测操纵概念
- 系统调用退出时序
- 用户空间缓冲区信任
- 遥测脱敏模型
- 采集路径完整性
- 检测逻辑假设
- eBPF 使用的防御性监控
- 多源验证策略

---

## 使用方法

### 环境要求

- Linux 内核 5.8+（已在 6.8.0 上测试）
- BCC（BPF Compiler Collection）0.29+
- Python 3
- root 权限（CAP_BPF、CAP_SYS_ADMIN）

### 运行```bash
# Run the redactor
sudo python3 SunnyDayBPF.py

# Dump generated BPF C source
sudo python3 SunnyDayBPF.py --dump-bpf

# List all redaction rules
python3 SunnyDayBPF.py --list-rules

# List all target agents
python3 SunnyDayBPF.py --list-agents

---

## 局限性

SunnyDayBPF 是一种研究技术，并存在实际限制：

- **缓冲区大小**：仅扫描每次读取的前 256 字节
- **扫描窗口**：根据规则组的复杂度，范围从 132 字节（PATH）到 251 字节（单规则组）
- **内核版本**：需要 kprobe 支持和 BPF 尾调用（5.8+）
- **BPF 验证器**：跳转序列限制约束了每组规则数量和扫描深度
- **未覆盖**：基于 `readv()`、`recvmsg()`、`mmap()` 的读取
- **内核空间强制**：像 Tetragon 这样在内核 eBPF 中做决策的工具不受影响
- **进程命名**：依赖于 5 字符 comm 前缀匹配，可能存在误报/漏报
- **检测**：BPF 程序加载可以被监控，通过对已加载 eBPF 程序进行审计可以检测到该技术
- **关联**：跨独立通道的多源遥测关联可能暴露不一致性

这项研究不应被解读为对 Linux 安全监控的通用绕过。

---

## 检测与缓解思路

潜在的防御方法包括：

- 通过 `bpf()` 系统调用审计监控已加载的 eBPF 程序
- 在生产环境中限制 BPF 能力（`CAP_BPF`、`CAP_SYS_ADMIN`）
- 审计意外的 tracepoint、kprobe、fentry、fexit 或 LSM 附加点
- 监控 `bpf_probe_write_user` 辅助函数的使用（该技术所依赖的关键辅助函数）
- 对未经授权的 BPF 程序加载发出告警
- 检查可疑的 BPF map 和程序生命周期事件
- 将用户空间代理的遥测数据与独立的内核级遥测数据进行比较
- 将 SIEM 事件与 auditd、fanotify、procfs 及内核事件源进行关联
- 在多个采集路径上验证进程元数据
- 检测原始事件与转发遥测之间的不一致性
- 对遥测代理实施最小权限原则
- 在适当情况下使用内核 lockdown 和 BPF 加固功能
- 审查安全代理的信任边界
- 保护遥测收集器免受本地篡改
- 维护预期 BPF 程序的允许列表
- 在关键检测逻辑上，优先使用内核空间强制工具（Tetragon、Tracee）而非纯用户空间代理

---

## 研究目标

SunnyDayBPF 的目标是：

1. 探索系统调用后的遥测数据是否会变得不可靠。
2. 展示真实系统行为与观测到的遥测数据之间的差异。
3. 识别基于遥测的安全产品中的薄弱假设。
4. 构建可复现的实验室场景以支持防御研究。
5. 帮助检测工程师理解遥测完整性。
6. 鼓励跨独立遥测源进行关联。
7. 加深对 eBPF 相关监控风险的理解。
8. 支持围绕 BPF 能力和代理完整性进行更强的加固。

---

## 防御影响

SunnyDayBPF 揭示了几个防御方面的关切：

- 遥测管道可能缺乏强大的完整性保证
- 用户空间安全代理可能处理在采集后已被更改的数据
- 信任单一来源的遥测数据存在风险
- 系统调用层面的真实情况与代理层面的观测结果可能不一致
- 检测管道应跨独立来源验证数据
- 应监控和控制已加载的 eBPF 程序
- 应审计并限制 `bpf_probe_write_user` 的使用
- 应审计辅助函数的使用和附加点
- 生产系统应限制不必要的 BPF 能力
- 在关键安全决策中，应优先采用内核空间强制而非仅用户空间检测

---

## 负责任研究声明

SunnyDayBPF 发布用于授权的安全研究、防御分析、遥测完整性研究和检测工程。

本仓库不鼓励未经授权的部署、隐蔽持久化、生产环境滥用或恶意使用 eBPF。

所有实验应仅在您拥有或明确获授权测试的系统上进行。

---

## 归属

SunnyDayBPF 最初由以下人员提出并研究：

**Azizcan Dastan**

研究元数据：```text
Technique Name: SunnyDayBPF
Researcher: Azizcan Dastan
LinkedIn: https://www.linkedin.com/in/azqzazq
GitHub: https://github.com/azqzazq1
Category: eBPF Security Research
Focus Area: Post-Syscall User-Buffer Telemetry Deception
Initial Public Release: 2026

---

## 常见问题

### 谁发现了 SunnyDayBPF？

SunnyDayBPF 由 **Azizcan Dastan** 发现并提出，作为针对基于 eBPF 的遥测操纵与观测层欺骗研究的一部分。

### 什么是 SunnyDayBPF？

SunnyDayBPF 是一种基于 eBPF 的系统调用后用户缓冲区遥测欺骗技术。它研究的是用户空间安全或日志代理在类似 read 的系统调用完成后所观察到的数据是否可以被更改。

### SunnyDayBPF 是 rootkit 吗？

不是。SunnyDayBPF 被定位为一种遥测完整性研究技术。它并非持久化机制、恶意软件框架或未经授权的系统入侵方法。

### SunnyDayBPF 会阻止原始事件吗？

不会。原始事件仍然会发生。该研究关注的是，在监测代理处理遥测数据之前，对该事件的观测结果是否可以被改变。

### SunnyDayBPF 针对哪一层？

SunnyDayBPF 针对的是系统调用完成与用户空间遥测处理之间的观测路径。

### 为什么这对防御者很重要？

因为许多检测系统信任用户空间代理采集之后的数据。SunnyDayBPF 表明，防御者不仅应验证事件来源，还应验证采集与转发路径的完整性。

### 这个仓库是攻击性的还是防御性的？

本仓库定位于防御性研究与遥测完整性分析。它记录了一种与安全相关的技术，以便防御者能够理解、检测并缓解此类风险。

### SunnyDayBPF 能绕过 Wazuh 吗？

Wazuh 是一个完全运行在用户空间的 SIEM 代理，通过 `read()` 系统调用读取遥测数据。SunnyDayBPF 可以在 Wazuh 处理数据之前修改 Wazuh 所读取的数据。默认的 Wazuh 安装没有任何机制来检测此类缓冲区操纵。

### SunnyDayBPF 能绕过 Falco 吗？

Falco 通过内核 eBPF 探针捕获事件，但在用户空间通过 `read()` 读取 perf 缓冲区来处理这些事件。SunnyDayBPF 可以在读取完成后修改缓冲区内容。Falco 的用户空间规则引擎随后会处理被篡改的数据。

### SunnyDayBPF 不能绕过什么？

在内核中做出强制执行决策的工具，例如 Cilium Tetragon 和 Aqua Tracee。这些工具会在数据到达用户空间之前，在内核 eBPF 程序中评估策略。

---

## 研究状态```text
Research status: Active public research
Technique status: v2.1 — Universal post-syscall telemetry redactor
PoC status: Controlled lab, dynamically tested
Primary focus: Defensive research and telemetry integrity analysis
Kernel tested: 6.8.0-111-generic
BCC version: 0.29.1

BibTeX 风格引用：```bibtex
@misc{dastan2026sunnydaybpf,
  author       = {Azizcan Dastan},
  title        = {SunnyDayBPF: Post-Syscall User-Buffer Telemetry Deception with eBPF},
  year         = {2026},
  note         = {eBPF-based post-syscall telemetry deception research technique},
  howpublished = {\url{https://github.com/azqzazq1/SunnyDayBPF}}
}