本文是在kernel space内核态，hook内核态函数，更改内核态返回用户态缓冲区数据，欺骗用户态进程，实现容器逃逸与rootkit。用户态进程拿到被篡改的数据，从而被骗通过认证。在此过程，不改变任何文件、进程、网络行为，不产生日志。 常规HIDS、HIPS产品无法感知。
本文是在kernel space内核态，hook内核态函数，更改内核态返回用户态缓冲区数据，欺骗用户态进程，实现容器逃逸与rootkit。用户态进程拿到被篡改的数据，从而被骗通过认证。在此过程，不改变任何文件、进程、网络行为，不产生日志。 常规HIDS、HIPS产品无法感知。
(...)
[…] (...)
都在 bpf/process/types/basic.h 的940行附近的 (...)
var actionTypeTable = map[string]uint32{ "post": (...)