CN104252380B - Linux系统下系统调用的控制方法及装置 - Google Patents

Abstract

本发明提出了一种Linux系统下系统调用的控制方法，包括以下步骤：接收用户输入的系统调用限制命令；根据系统调用限制命令生成系统调用限制进程；系统调用限制进程分别生成第一进程和第二进程，其中，第一进程通过系统调用函数对第二进程进行监控和系统调用限制控制，第二进程用于执行用户的命令。根据本发明的方法可在系统调用级别上进行细粒度的权限控制，且该方法使用简单。本发明还提出了一种Linux系统下系统调用的控制装置。

Description

Linux系统下系统调用的控制方法及装置

技术领域

本发明涉及系统安全技术领域，特别涉及一种Linux系统下系统调用的控制方法及装置。

背景技术

目前，对一个用户程序进行资源限制与权限限制时，会使用以下几种方案：

(1)限制程序所使用的用户账号的文件读写与执行权限。

(2)chroot限制一些命令的执行。

(3)使用setrlimit(如limit命令)或者cgroup来限制用户的使用资源多少。

(4)使用ptrace(系统调用)函数来限制用户的系统调用。

现有方式的缺点为：ptrace函数使用较为麻烦，而上述的其它方式无法在系统调用级别上进行细粒度的权限控制。

发明内容

本发明的目的旨在至少解决所述技术缺陷之一。

为此，本发明的一个目的在于提出一种Linux系统下系统调用的控制方法，该方法可在系统调用级别上进行细粒度的权限控制，且该方法使用简单。

本发明的另一个目的在于提出一种Linux系统下系统调用的控制装置。

为达到上述目的，本发明第一方面的实施例公开了一种Linux系统下系统调用的控制方法，包括以下步骤：接收用户输入的系统调用限制命令；根据所述系统调用限制命令生成系统调用限制进程；以及所述系统调用限制进程分别生成第一进程和第二进程，其中，所述第一进程通过系统调用函数对所述第二进程进行监控和系统调用限制控制，所述第二进程用于执行所述用户的命令。

根据本发明实施例的Linux系统下系统调用的控制方法，可方便地在系统调用级别上进行细粒度的权限控制，从根本上解决安全性问题，例如：在一些给用户提供在线运行程序的平台上(诸如BAE)，如果想要支持基础的C/C++运行模块，可以使用该方法对其进行安全控制，从而保证平台的安全。

另外，根据本发明上述实施例的Linux系统下系统调用的控制方法还可以具有如下附加的技术特征：

在一些示例中，所述第一进程对所述系统调用限制进程进行监控；所述第一进程判断所述系统调用限制进程是否退出或者处于暂停状态；如果判断所述系统调用限制进程退出，则控制所述第二进程退出；以及如果判断所述系统调用限制进程处于暂停状态，则控制所述第二进程进入暂停状态。

在一些示例中，其中，所述系统调用限制命令包括限制规则，所述第一进程通过系统调用函数根据所述限制规则对所述第二进程进行系统调用限制控制。

在一些示例中，还包括：所述系统调用限制进程进行信号捕获，并通过所述第一进程将捕获的所述信号发送至所述第二进程。

本发明第二方面的实施例公开了一种Linux系统下系统调用的控制装置，包括：接收模块，用于接收用户输入的系统调用限制命令；生成模块，用于根据所述系统调用限制命令生成系统调用限制进程，其中，所述系统调用限制进程分别生成第一进程和第二进程，其中，所述第一进程通过系统调用函数对所述第二进程进行监控和系统调用限制控制，所述第二进程用于执行所述用户的命令。

根据本发明实施例的Linux系统下系统调用的控制装置，可方便地在系统调用级别上进行细粒度的权限控制，从根本上解决安全性问题，例如：在一些给用户提供在线运行程序的平台上(诸如BAE)，如果想要支持基础的C/C++运行模块，可以使用该装置对其进行安全控制，从而保证平台的安全。

另外，根据本发明上述实施例的Linux系统下系统调用的控制装置还可以具有如下附加的技术特征：

在一些示例中，所述第一进程对所述系统调用限制进程进行监控，且在所述第一进程判断所述系统调用限制进程退出时，控制所述第二进程退出，以及在所述第一进程判断所述系统调用限制进程处于暂停状态时，控制所述第二进程进入暂停状态。

在一些示例中，其中，所述系统调用限制命令包括限制规则，所述第一进程通过系统调用函数根据所述限制规则对所述第二进程进行系统调用限制控制。

在一些示例中，其中，所述系统调用限制进程进行信号捕获，并通过所述第一进程将捕获的所述信号发送至所述第二进程。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明所述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1是根据本发明一个实施例的Linux系统下系统调用的控制方法的流程图；以及

图2是根据本发明另一个实施例的Linux系统下系统调用的控制方法的流程图；以及

图3是根据本发明一个实施例的Linux系统下系统调用的控制装置的示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

在本发明的描述中，需要理解的是，术语“纵向”、“横向”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。

在本发明的描述中，需要说明的是，除非另有规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是机械连接或电连接，也可以是两个元件内部的连通，可以是直接相连，也可以通过中间媒介间接相连，对于本领域的普通技术人员而言，可以根据具体情况理解所述术语的具体含义。

以下结合附图描述根据本发明实施例Linux系统下系统调用的控制方法及装置。

图1是根据本发明一个实施例的Linux系统下系统调用的控制方法的流程图。如图1所示，根据本发明一个实施例的Linux系统下系统调用的控制方法，包括如下步骤：

步骤S101：接收用户输入的系统调用限制命令。例如，可使用ptrace 函数封装出一个接口类似于limit的工具，如将该工具命名为slimit。这样，通过slimit接收用户输入的系统调用限制命令。

系统调用限制命令诸如：slimit runcmd--rule-file＝"limit.rule"。

步骤S102：根据系统调用限制命令生成系统调用限制进程。例如生成的系统调用限制进程命名为：slimit进程。

步骤S103：系统调用限制进程分别生成第一进程和第二进程，其中，第一进程通过系统调用函数对第二进程进行监控和系统调用限制控制，第二进程用于执行用户的命令。在该实例中，第一进程命名为子进程1，第二进程命名为子进程2。在本发明的一个实施例中，系统调用限制命令包括限制规则，第一进程通过系统调用函数根据限制规则对第二进程进行系统调用限制控制。

具体地说，例如在根据系统调用限制命令生成系统调用限制进程 (slimit进程)之后，slimit进程通过调用fork函数创建出子进程1，而slimit 进程通过调用waitpid函数暂时停止目前进程(如系统调用限制进程)的执行，直到有信号到来或子进程(如子进程1和子进程2)结束。如果slimit 进程在调用waitpid函数时子进程已经结束，则waitpid函数会立即返回子进程结束状态值给系统调用限制进程。在该实例中，子进程的结束状态值可通过waitpid函数的参数进行状态值的返回。子进程的进程识别码也可一起返回至系统调用限制进程。

进一步地，slimit进程在通过fork函数产生子进程2(第二进程)，并通过子进程2执行用户的系统调用限制命令，其中，系统调用限制命令诸如：slimit runcmd--rule-file＝"limit.rule"，并在子进程1中使用ptrace 函数去监控子进程2的运行，当子进程2进行某系统调用时，对其按照 limit.rule中指定的规则(限制规则)进行限制。例如：可利用ptrace函数获取到子进程(子进程2)当时的各种状态，如系统调用号，各参数的值，内存某地址处的值等，并可进行任意修改。

在上述示例中，对于slimit runcmd--rule-file＝"limit.rule"而言，slimit 进程会限制runcmd的执行权限，如系统调用黑名单或白名单，如进行某系统调用时检查几个参数的值满足某几个条件时方能执行，或者完成替换系统调用等功能。并且，可以完成一些常规方法比较难以精确实现的资源统计的功能写入一个结果文件(或写至标准输出)。

如图2所示，本发明实施例的Linux系统下系统调用的控制方法还可包括如下步骤：

步骤S201：第一进程对系统调用限制进程进行监控。即子进程1(第一进程)用来监控slimit进程是否存活或者处于运行状态。

步骤S202：第一进程判断系统调用限制进程是否退出或者处于暂停状态。

步骤S203：如果判断系统调用限制进程退出，则控制第二进程退出。

例如，当子进程1发现slimit进程退出时，向子进程2(第二进程)发送SIGKILL信号，以使子进程2退出。步骤S204：如果判断系统调用限制进程处于暂停状态，则控制第二进程进入暂停状态。具体地，如果系统调用限制进程(slimit进程)处于暂停状态(STOP状态)，则第一进程向第二进程发送SIGSTOP，以使第二进程进入暂停状态，如果slimit进程恢复到运行状态，则第一进程向第二进程发送SIGCONT信号，以使第二进程进入运行状态。

在本发明的进一步实施例中，该方法可还包括：系统调用限制进程进行信号捕获，并通过第一进程将捕获的信号发送至第二进程。

具体地说，这里捕获的信号例如为系统调用限制命令(slimit命令)所收到的一切可捕获信号，并将其经过第一进程传递给第二进程。其目的是使用户更方便的将原来手工启动命令的地方修改为使用系统调用闲置命令 (slimit命令)，例如，原来用户启动一个程序时使用的是/bin/bash-c “runcmd”，启动后，用户可以记录下该runcmd的pid，然后随后可能会向该pid发送一些控制信号。如果修改为使用slimit runcmd这种方式启动之后，则runcmd不会收到该信号，除非slimit所在进程将信号传递给它。

而linux中SIGKILL/SIGSTOP命令是不可以捕获的，当收到 SIGKILL/SIGSTOP时，slimit进程 无法将这些信号传递给第二进程，这是为什么不直接用slimit所在进程来启动第二进程，反而是启动了一个第一进程并同时用第一进程监控slimit进程状态的原因。

根据本发明实施例的Linux系统下系统调用的控制方法，可方便地在系统调用级别上进行细粒度的权限控制，从根本上解决安全性问题，例如：在一些给用户提供在线运行程序的平台上(诸如BAE)，如果想要支持基础的C/C++运行模块，可以使用该方法对其进行安全控制，从而保证平台的安全。

图3是根据本发明一个实施例的Linux系统下系统调用的控制装置的结构图。如图3所示，该Linux系统下系统调用的控制装置300，包括：接收模块310和生成模块320。

其中，接收模块310用于接收用户输入的系统调用限制命令。例如，接收模块310可借助于ptrace函数封装出一个接口类似于limit的工具，如将该工具命名为slimit。这样，接收模块310通过slimit接收用户输入的系统调用限制命令。在本发明的一个实施例中，系统调用限制命令诸如： slimit runcmd--rule-file＝"limit.rule"。

生成模块320用于根据系统调用限制命令生成系统调用限制进程，其中，系统调用限制进程分别生成第一进程和第二进程，其中，第一进程通过系统调用函数对第二进程进行监控和系统调用限制控制，第二进程用于执行用户的命令。

例如，生成模块320生成的系统调用限制进程命名为：slimit进程，第一进程命名为子进程1，第二进程命名为子进程2。在本发明的一个实施例中，系统调用限制命令包括限制规则，第一进程通过系统调用函数根据限制规则对第二进程进行系统调用限制控制。

具体地说，生成模块320在根据系统调用限制命令生成系统调用限制进程(slimit进程)之后，slimit进程通过调用fork函数创建出子进程1，而slimit进程通过调用waitpid函数暂时停止目前进程(如系统调用限制进程)的执行，直到有信号到来或子进程(如子进程1和子进程2)结束。如果slimit进程在调用waitpid函数时子进程已经结束，则waitpid函数会立即返回子进程结束状态值给系统调用限制进程。在该实例中，子进程的结束状态值可通过waitpid函数的参数进行状态值的返回。子进程的进程识别码也可一起返回至系统调用限制进程。

进一步地，slimit进程在通过fork函数产生子进程2(第二进程)，并通过子进程2执行用户的系统调用限制命令，其中，系统调用限制命令诸如：slimit runcmd--rule-file＝"limit.rule"，并在子进程1中使用ptrace 函数去监控子进程2的运行，当子进程2进行某系统调用时，对其按照 limit.rule中指定的规则(限制规则)进行限制。例如：可利用ptrace函数获取到子进程(子进程2)当时的各种状态，如系统调用号，各参数的值，内存某地址处的值等，并可进行任意修改。

在上述示例中，对于slimit runcmd--rule-file＝"limit.rule"而言，slimit 进程会限制runcmd的执行权限，如系统调用黑名单或白名单，如进行某系统调用时检查几个参数的值满足某几个条件时方能执行，或者完成替换系统调用等功能。并且，可以完成一些常规方法比较难以精确实现的资源统计的功能写入一个结果文件(或写至标准输出)。

在本发明的一个实施例中，第一进程对系统调用限制进程进行监控，且在第一进程判断系统调用限制进程退出时，控制第二进程退出，以及在第一进程判断系统调用限制进程处于暂停状态时，控制所述第二进程进入暂停状态。例如：子进程1(第一进程)用来监控slimit进程是否存活，并当子进程1发现slimit进程退出时，向子进程2(第二进程)发送SIGKILL 信号，以使子进程2退出。如果系统调用限制进程(slimit进程)处于暂停状态(STOP状态)，则第一进程向第二进程发送SIGSTOP，以使第二进程进入暂停状态，如果slimit进程恢复到运行状态，则第一进程向第二进程发送SIGCONT信号，以使第二进程进入运行状态。

在本发明的一个实施例中，系统调用限制进程进行信号捕获，并通过第一进程将捕获的信号发送至第二进程。

具体地说，这里捕获的信号例如为系统调用限制命令(slimit命令)所收到的一切可捕获信号，并将其经过第一进程传递给第二进程。其目的是使用户更方便的将原来手工启动命令的地方修改为使用系统调用闲置命令 (slimit命令)，例如，原来用户启动一个程序时使用的是/bin/bash-c “runcmd”，启动后，用户可以记录下该runcmd的pid，然后随后可能会向该pid发送一些控制信号。如果修改为使用slimit runcmd这种方式启动之后，则runcmd不会收到该信号，除非slimit所在进程将信号传递给它。

而linux中SIGKILL/SIGSTOP命令是不可以捕获的，当收到 SIGKILL/SIGSTOP时，slimit进行无法将这些信号传递给第二进程，这是为什么不直接用slimit所在进程来启动第二进程，反而是启动了一个第一进程并同时用第一进程监控slimit进程状态的原因。

根据本发明实施例的Linux系统下系统调用的控制装置，可方便地在系统调用级别上进行细粒度的权限控制，从根本上解决安全性问题，例如：在一些给用户提供在线运行程序的平台上(诸如BAE)，如果想要支持基础的C/C++运行模块，可以使用该方法对其进行安全控制，从而保证平台的安全。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对所述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同限定。

Claims (8)

1.一种Linux系统下系统调用的控制方法，其特征在于，包括以下步骤：

接收用户输入的系统调用限制命令；

根据所述系统调用限制命令生成系统调用限制进程；以及

所述系统调用限制进程分别生成第一进程和第二进程，其中，所述第一进程通过系统调用函数ptrace对所述第二进程进行监控和系统调用限制控制，所述第二进程用于执行所述用户的除所述系统调用限制命令之外的其它命令。

2.如权利要求1所述的方法，其特征在于，还包括：

所述第一进程对所述系统调用限制进程进行监控；

所述第一进程判断所述系统调用限制进程是否退出或者处于暂停状态；

如果判断所述系统调用限制进程退出，则控制所述第二进程退出；以及

如果判断所述系统调用限制进程处于暂停状态，则控制所述第二进程进入暂停状态。

3.如权利要求1或2所述的方法，其特征在于，其中，所述系统调用限制命令包括限制规则，所述第一进程通过系统调用函数根据所述限制规则对所述第二进程进行系统调用限制控制。

4.如权利要求1所述的方法，其特征在于，还包括：

所述系统调用限制进程进行信号捕获，并通过所述第一进程将捕获的所述信号发送至所述第二进程。

5.一种Linux系统下系统调用的控制装置，其特征在于，包括：

接收模块，用于接收用户输入的系统调用限制命令；

生成模块，用于根据所述系统调用限制命令生成系统调用限制进程，其中，所述系统调用限制进程分别生成第一进程和第二进程，其中，所述第一进程通过系统调用函数ptrace对所述第二进程进行监控和系统调用限制控制，所述第二进程用于执行所述用户的除所述系统调用限制命令之外的其它命令。

6.如权利要求5所述的装置，其特征在于，所述第一进程对所述系统调用限制进程进行监控，且在所述第一进程判断所述系统调用限制进程退出时，控制所述第二进程退出，以及在所述第一进程判断所述系统调用限制进程处于暂停状态时，控制所述第二进程进入暂停状态。

7.如权利要求5所述的装置，其特征在于，其中，所述系统调用限制命令包括限制规则，所述第一进程通过系统调用函数根据所述限制规则对所述第二进程进行系统调用限制控制。

8.如权利要求5所述的装置，其特征在于，其中，所述系统调用限制进程进行信号捕获，并通过所述第一进程将捕获的所述信号发送至所述第二进程。