eBPF监测未知进程的创建

以下是一个简单的eBPF模块代码示例，用于检测未知进程的创建。在此示例中，我们使用eBPF的`kprobe`功能来监视`do_fork`系统调用，并检查新创建进程的PID和进程命令行。如果发现未知进程，则通过`trace_printk`函数将消息打印到内核日志中。

```c
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/if_packet.h>
#include <linux/ip.h>
#include <linux/tcp.h>
#include <linux/icmp.h>
#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/version.h>
#include <linux/kprobes.h>

#define MAX_CMD_LEN 256

BPF_HASH(pid_cmd, u32, char[MAX_CMD_LEN]);

int kprobe__do_fork(struct pt_regs *ctx)
{
    u32 pid = bpf_get_current_pid_tgid();
    struct task_struct *child = (struct task_struct *)PT_REGS_RC(ctx);
    char cmd[MAX_CMD_LEN];

    bpf_get_current_comm(&cmd, sizeof(cmd));

    // 存储新创建进程的PID和命令行
    pid_cmd.update(&pid, &cmd);

    return 0;
}

int kretprobe__do_fork(struct pt_regs *ctx)
{
    u32 pid = bpf_get_current_pid_tgid();

    // 如果PID不存在于pid_cmd哈希表中，则打印未知进程信息
    if (pid_cmd.lookup(&pid) == NULL) {
        char msg[MAX_CMD_LEN] = "Unknown process created: ";
        bpf_probe_read_user_str(&msg[sizeof("Unknown process created: ") - 1], sizeof(msg) - sizeof("Unknown process created: ") - 1, ((struct pt_regs *)ctx)->strret);
        trace_printk("%s", msg);
    }

    return 0;
}

char _license[] SEC("license") = "GPL";
```

要编译和加载此模块，需要在系统上安装运行eBPF的环境。此外，需要将代码保存为一个`.c`文件（例如`bpf_process_monitor.c`），然后使用以下命令进行构建：

```
clang -O2 -target bpf -c bpf_process_monitor.c -o bpf_process_monitor.o
```

构建成功后，可以使用以下命令将模块加载到内核中：

```
ip link set dev eth0 xdp obj bpf_process_monitor.o
```

请确保将`eth0`替换为您要监视的网络接口。