PAM 会话打开 (su, ssh, login 等)
  |
  v
pam_block_afalg.so (pam_sm_open_session)
  |
  +-- 检查：内核是否受影响？（尝试 socket(AF_ALG)）
  |     |
  |     +-- 否 --> 返回 PAM_SUCCESS（不操作）
  |     |
  |     +-- 是 --> prctl(PR_SET_SECCOMP, BPF 过滤器)
  |                   |
  |                   +-- seccomp 过滤器在 sshd 子进程上生效
  |                   +-- 被用户 shell 及所有子进程继承
  |                   +-- socket(AF_ALG, ...) 返回 EACCES
  v
用户 shell / 命令在 seccomp 保护下运行
  |
  +-- su、sudo 及所有其他系统调用正常工作
  +-- 仅 AF_ALG socket 被阻断

# 1. 编译 PAM 模块
gcc -Wall -O2 -fPIC -shared -o pam_block_afalg.so pam_block_afalg.c \
    /usr/lib64/libpam.so.0

# 2. 安装（自动添加 PAM 配置到 su、sshd、login）
sudo ./deploy.sh install

# 3. 验证（必须是新会话）
cat /proc/self/status | grep Seccomp
# 应显示：Seccomp: 2

python3 -c "
import socket
try:
    s = socket.socket(38,2,0); s.close()
    print('VULNERABLE')
except OSError:
    print('BLOCKED')
"
# 应显示：BLOCKED

# 4. 卸载
sudo ./deploy.sh remove

# 编译
gcc -Wall -O2 -o block_afalg block_afalg.c

# 阻断 AF_ALG 运行命令
./block_afalg python3 your_script.py
./block_afalg bash

python3 -c "
import socket
try:
    s = socket.socket(38, socket.SOCK_SEQPACKET, 0)
    s.close()
    print('VULNERABLE: AF_ALG socket available')
except:
    print('SAFE: AF_ALG socket blocked or unavailable')
"

# 检查 seccomp 状态
cat /proc/self/status | grep Seccomp
# Seccomp: 0 = 未保护
# Seccomp: 2 = 已保护

# 测试 AF_ALG socket
python3 -c "
import socket
try:
    s = socket.socket(38,2,0)
    s.close()
    print('AF_ALG available - NOT protected')
except OSError:
    print('AF_ALG blocked - PROTECTED')
"

# 检查 PAM 日志
grep pam_block_afalg /var/log/secure
# 应显示：seccomp filter applied, AF_ALG blocked