Post #375

https://t.me/hyi0618/33 这个其实值得用 bpf 做一个工具，我之前就想过但是太懒了。 整体思路是，tracepoint attach exec，然后 bpf_write_user 修改 char **env。虽然 bpf 不能修改内核栈和寄存器，但是可以修改用户栈，正好这几个参数都在用户堆栈上。 但是细节没想象中那么容易： a. 修改已有环境变量。很难判断哪些变量不会被进程使用、可以安全被篡改，不小心就玩坏。 b. 新增环境变量。需要遍历 char **argv 和 char…