前段时间的Bvp47木马利用BPF技术敲门，想必你已经精通了吧？笔者曾担忧在eBPF加持下，用在后门场景会更加恐怖。这不GitHub上开源了一个Boopkit，今天笔者跟大家一起来了解一下它的技术原理，使用了哪些eBPF程序功能。它是如何实现任意开启的TCP端口服务，远程唤醒后门，并生成反弹shell的。
HIDS
Linux中基于eBPF的恶意利用与检测机制
聊一聊《Bvp47 美国NSA方程式的顶级后门》中的BPF隐藏信道
在《Bvp47 美国NSA方程式的顶级后门》的文章，里面提到后门使用BPF技术做通信信道的隐藏，本身不监听端口，通过特定SYN包唤醒后门。而且隐藏近二十年之久。恰巧笔者近期在学习eBPF，且在春节前用eBPF技术实现了类似功能的后门DEMO，对这块特别感兴趣。 好奇它的兼容性是如何做的，HOOK点是如何选择的？用的BPF/eBPF哪个内核版本的类库？
内核态eBPF程序实现容器逃逸与隐藏账号rootkit
本文是在kernel space内核态，hook内核态函数，更改内核态返回用户态缓冲区数据，欺骗用户态进程，实现容器逃逸与rootkit。用户态进程拿到被篡改的数据，从而被骗通过认证。在此过程，不改变任何文件、进程、网络行为，不产生日志。 常规HIDS、HIPS产品无法感知。
datadog的eBPF安全检测机制分析
datadog的system-probe模块使用了eBPF技术研发，实现了网络管理、运行时安全、系统状态感知等几个功能，支持运维管理、安全检测两个场景。其中核心模块在网络与运行时安全两个场景。故本文重点分析了这两个场景的技术实现与业务特性。
Cilium eBPF实现机制源码分析
通过笔者的分析学习，可以宏观的了解到Cilium在eBPF内核技术使用时，场景覆盖网络处理的XDP、TC、SOCKET等L3、L4、L7层，业务覆盖防火墙、网络路由、网络隔离、负载均衡等。通过集中式管理eBPF文件源码，下发到各endpoint分发式编译挂载。调试日志作为eBPF map事件统一收集处理。 支持用户态、内核态相互之间用eBPF map做双向通讯，实现策略下发与数据收集。具备数据对账、监控告警能力。
[译]使用eBPF（绕过 TCP/IP）加速云原生应用程序的经验教训
本文对比了eBPF绕过TCP/IP栈与普通TCP协议两种模式下，网络通讯的吞吐量、延迟、事务量等指标。译者以边学边练的方式来学习额BPF新内核知识，并以网络安全产品研发的视角，结合容器化编排领域发展趋势，谈主机安全产品HIDS的演进方向。
保障IDC安全：分布式HIDS集群架构设计
近年来，互联网上安全事件频发，企业信息安全越来越受到重视，而IDC服务器安全又是纵深防御体系中的重要一环。保障IDC安全，常用的是基于主机型入侵检测系统Host-based Intrusion Detection System，即HIDS。在HIDS面对几十万台甚至上百万台规模的IDC环境时，系统架构该如何设计呢？复杂的服务器环境，网络环境，巨大的数据量给我们带来了哪些技术挑战呢？