Android Seccomp深度解析：沙箱防护全流程

• 策略源文件位置：位于 bionic/libc/ 目录下。
  • SYSCALLS.TXT：定义了 Bionic C 库支持的所有系统调用。
  • SECCOMP_BLACKLIST_APP.TXT：应用进程的系统调用黑名单（如阻止 swapon、swapoff、chroot 等高危调用）。
  • SECCOMP_WHITELIST.TXT：系统允许的白名单。
• 编译转换脚本：AOSP 提供了 Python 脚本（如 genseccomp.py），其核心逻辑为：

• 生成产物：脚本会为不同的 CPU 架构（ARM, ARM64, x86, x86_64）生成对应的 C++ 字节码数组文件（例如 arm64_app_policy.cpp），内部包含密密麻麻的 sock_filter 结构体数组。例如：C++

// 伪代码示例：生成后的 BPF 过滤规则 
static const struct sock_filter arm64_app_filter[] = { 
    BPF_STMT(BPF_LD | BPF_W | BPF_ABS, 
    offsetof(struct seccomp_data, nr)), // 加载系统调用号 
    BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_swapon, 0, 1), // 如果是 swapon 
    BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_TRAP), // 触发异常拦截 ... 
    BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW), // 默认允许 
};

// 位于 com_android_internal_os_Zygote.cpp
static void SetUpSeccompFilter(uid_t uid, bool is_child_zygote) {
    // 1. 检查当前是否开启了安全强制模式（如 userdebug 模式下执行了 setenforce 0 可能会关闭）
    if (!gIsSecurityEnforced) {
        ALOGI("seccomp disabled by setenforce 0");
        return;
    }

    // 2. 根据 UID 的不同，应用不同的 Seccomp 策略
    if (uid >= AID_APP_START) {
        if (is_child_zygote) {
            // 如果是 WebViewZygote 或 AppZygote 衍生出的子 Zygote
            set_app_zygote_seccomp_filter(); 
        } else {
            // 普通的 Android 应用程序进程
            set_app_seccomp_filter(); 
        }
    } else {
        // 系统核心服务进程（如 system_server）
        set_system_seccomp_filter(); 
    }
}

#include <linux/filter.h>
#include <sys/prctl.h>

// Bionic 内部加载 BPF 策略的实现
static bool install_filter(const struct sock_filter* filter, size_t filter_size) {
    struct sock_fprog prog = {
        .len = static_cast<unsigned short>(filter_size),
        .filter = const_cast<sock_filter*>(filter),
    };

    // 调用 Linux 内核机制，注入 BPF 过滤器
    // SECCOMP_MODE_FILTER 表示使用用户自定义的 BPF 规则过滤
    if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &prog) < 0) {
        PLOG(FATAL) << "Could not set seccomp filter";
        return false;
    }
    return true;
}

service mediaextractor /system/bin/mediaextractor
    class main
    user mediaex
    group drmrpc mediadrm net_bt_admin
    # 指定该服务启动时加载的 seccomp 策略文件
    seccomp /system/etc/seccomp_policy/mediaextractor.policy

// 守护进程内部代码示例
mini_jail* jail = minijail_new();
minijail_parse_seccomp_filters(jail, "/vendor/etc/seccomp_policy/mediacodec.policy");
minijail_enter(jail); // 此后该进程便进入了 Seccomp 沙箱

1. 触发拦截：当 Shellcode 尝试调用诸如 sys_reboot()、swapon() 或高危的 ptrace()（在旧内核中可能导致逃逸）时。
2. 内核处置：Linux 内核在执行该系统调用前，会先跑一遍该进程附带的 BPF 过滤代码，匹配到禁止调用。
3. 发送信号：内核会直接向该进程发送 SIGSYS 信号（部分配置下为 SIGKILL）。
4. 进程崩溃：进程瞬间被强行终止，并在 Logcat 中留下类似 Bad system call 的崩溃日志。

四、MediaTek (MTK) 的策略

1.源码中的策略文件路径（针对修改编译）

2.编译出厂后的生成路径（针对快速验证）

• SYSCALLS.TXT
  • 作用：系统调用总表。它记录了当前 Android 版本（如 Android 14）所支持的、各架构（ARM64, x86等）最原始的系统调用映射关系。Bionic 库会根据它来生成 C 语言函数（如 open()）对应的汇编底层实现。
• SECCOMP_ALLOWLIST_APP.TXT
  • 作用：普通应用程序（App）的系统调用白名单。所有从 Google Play 或第三方安装的普通 App，被 Fork 出来后都会应用这个文件里的规则。只有在这个列表里的系统调用，App 才有权调用。
• SECCOMP_ALLOWLIST_SYSTEM.TXT
  • 作用：核心系统服务的系统调用白名单。像 system_server、高级守护进程等，它们需要的权限比普通 App 大得多（例如需要特定的网络或进程控制权限），所以它们的白名单范围会比 APP 的更宽。
• SECCOMP_ALLOWLIST_COMMON.TXT
  • 作用：公共白名单。App 和系统服务都需要用到的最基础的系统调用（如 read, write, futex, mmap 等），为了避免重复编写，全部抽离在这个公共文件里。
• SECCOMP_BLOCKLIST_APP.TXT / COMMON.TXT
  • 作用：显式黑名单。明确禁止应用或所有进程调用的高危系统调用（例如 swapon/swapoff 交换分区控制、reboot 重启系统等）。即使底层 C 库里有这些函数，一旦调用，内核也会直接用 Seccomp 杀掉进程。
• SECCOMP_PRIORITY.TXT
  • 作用：性能优化优先级表（核心安全细节）。
  • 原理：内核在执行 Seccomp 过滤时，需要像执行代码一样逐行匹配 BPF 指令。如果把高频使用的系统调用放前面，性能就会极高。这个文件指定了哪些系统调用（如 read, write, epoll_wait）是“高频”的，编译工具会根据它把这些调用排在 BPF 判断树的顶端，以防沙箱机制拖慢整机性能。