c - C SECCOMP阻止或关闭STDIN/STDOUT

我现在正在实现在fork之后的子进程中运行另一个程序。

int main(int argc, char *argv[]) {
    pid_t pid = 0;
    int status;

    struct user_regs_struct regs;

    prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0);
    prctl(PR_SET_DUMPABLE, 0);

    scmp_filter_ctx ctx;
    ctx = seccomp_init(SCMP_ACT_KILL); // default action: kill

    // build rules for whitelist of system calls
    for (int i = 0; i < size_of_whitelist_syscall; i++) {
        seccomp_rule_add(ctx, SCMP_ACT_ALLOW, whitelist_syscall[i], 0);
    }

    pid = fork();

    if (pid != 0) {
        while (waitpid(pid, &status, 0)) {
            if (WIFEXITED(status)) {
                fprintf(stderr, "terminated with code %d\n", WEXITSTATUS(status));
                break;
            } else if (WIFSIGNALED(status)) {
                if (WTERMSIG(status) == 31) {
                    fprintf(stderr, "terminated by system call violation\n");
                } else {
                    fprintf(stderr, "terminated by signal %d\n", WTERMSIG(status));
                }
                break;
            }

            ptrace(PTRACE_GETREGS, pid, NULL, &regs);


            //fprintf(stderr, "%s(%lld) from pid %d\n", callname(REG(regs)), REG(regs), pid);

            ptrace(PTRACE_SYSCALL, pid, NULL, NULL);
        }
    } else if (pid == 0) {
        FILE *fp_in = freopen("std.in", "r", stdin);
        FILE *fp_out = freopen("std.out", "w", stdout);
        FILE *fp_error = freopen("err.out", "a+", stderr);

        ptrace(PTRACE_TRACEME, 0, NULL, NULL);

        seccomp_load(ctx);
        execl("/usr/bin/java", "/usr/bin/java", "Test", NULL);
        //execl("/usr/bin/python3", "python", "./test.py", NULL);
        //execl("./test.out", "./test.out", NULL);
        seccomp_release(ctx);

        fclose(fp_in);
        fclose(fp_out);
        fclose(fp_error);

    exit(0);
    } else {
    perror("failed to fork");
    }

    return 0;
}


int whitelist_syscall[] = {
    SCMP_SYS(access),
    SCMP_SYS(arch_prctl),
    SCMP_SYS(brk),
    SCMP_SYS(clone),
    SCMP_SYS(close),
    SCMP_SYS(dup),
    SCMP_SYS(execve),
    SCMP_SYS(exit_group),
    SCMP_SYS(fcntl),
    SCMP_SYS(fstat),
    SCMP_SYS(futex),
    SCMP_SYS(getcwd),
    SCMP_SYS(getdents),
    SCMP_SYS(getegid),
    SCMP_SYS(geteuid),
    SCMP_SYS(getgid),
    SCMP_SYS(getpid),
    SCMP_SYS(getrandom),
    SCMP_SYS(getuid),
    SCMP_SYS(ioctl),
    SCMP_SYS(lseek),
    SCMP_SYS(lstat),
    SCMP_SYS(mmap),
    SCMP_SYS(mprotect),
    SCMP_SYS(munmap),
    SCMP_SYS(openat),
    SCMP_SYS(prlimit64),
    SCMP_SYS(read),
    SCMP_SYS(readlink),
    SCMP_SYS(rt_sigaction),
    SCMP_SYS(rt_sigprocmask),
    SCMP_SYS(set_robust_list),
    SCMP_SYS(set_tid_address),
    SCMP_SYS(sigaltstack),
    SCMP_SYS(stat),
    SCMP_SYS(sysinfo),
    SCMP_SYS(write)
};

int size_of_whitelist_syscall = sizeof(whitelist_syscall) / sizeof(int);

如上所示，我正在测试运行c/python/java程序，这些程序只是简单的“hello world”。

seccomp_load(ctx);

execl("/usr/bin/java", "/usr/bin/java", "Test", NULL);
//execl("/usr/bin/python3", "python", "./test.py", NULL);
//execl("./test.out", "./test.out", NULL);

我允许一些使用seccomp的白名单系统调用。
运行python和c程序，并将其输出重定向到文件。
在Java中，子进程正常终止，但如果加载seccomp，则输出将消失。否则，我看到“你好世界”的信息。
谢谢您。

最佳答案

我自己回答。
我试图在jvm上运行java程序。它没有向父母发出正确的信号，所以看起来一切都很好。
我的问题与I/O问题、缓冲I/O、刷新或文件描述符无关。
我通过逐行删除系统调用来测试允许规则。
以下是对jvm的最低系统调用：

    SCMP_SYS(access),
    SCMP_SYS(arch_prctl),
    SCMP_SYS(brk),
    SCMP_SYS(clock_getres),
    SCMP_SYS(clone),
    SCMP_SYS(close),
    SCMP_SYS(connect),
    SCMP_SYS(execve),
    SCMP_SYS(exit_group),
    SCMP_SYS(fchdir),
    SCMP_SYS(fcntl),
    SCMP_SYS(fstat),
    SCMP_SYS(ftruncate),
    SCMP_SYS(futex),
    SCMP_SYS(getcwd),
    SCMP_SYS(getdents),
    SCMP_SYS(geteuid),
    SCMP_SYS(getpid),
    SCMP_SYS(gettid),
    SCMP_SYS(getuid),
    SCMP_SYS(kexec_load),
    SCMP_SYS(kill),
    SCMP_SYS(lseek),
    SCMP_SYS(lstat),
    SCMP_SYS(mkdir),
    SCMP_SYS(mmap),
    SCMP_SYS(mprotect),
    SCMP_SYS(munmap),
    SCMP_SYS(openat),
    SCMP_SYS(prctl),
    SCMP_SYS(pread64),
    SCMP_SYS(prlimit64),
    SCMP_SYS(pselect6),
    SCMP_SYS(read),
    SCMP_SYS(readlink),
    SCMP_SYS(rt_sigaction),
    SCMP_SYS(rt_sigprocmask),
    SCMP_SYS(rt_sigreturn),
    SCMP_SYS(sched_getaffinity),
    SCMP_SYS(sched_yield),
    SCMP_SYS(set_robust_list),
    SCMP_SYS(set_tid_address),
    SCMP_SYS(socket),
    SCMP_SYS(stat),
    SCMP_SYS(sysinfo),
    SCMP_SYS(uname),
    SCMP_SYS(unlink),
    SCMP_SYS(write)

关于c - C SECCOMP阻止或关闭STDIN/STDOUT，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/57100617/