本文讨论了容器安全机制中的两道防线：Capabilities 和 Seccomp-BPF。Capabilities 将 root 权限拆分，允许容器仅使用必要的特权，防止执行危险操作。Seccomp-BPF 通过过滤系统调用，阻止容器执行关键系统调用，从而增强安全性。Docker 默认配置结合这两种机制，确保容器进程的安全性，防止潜在的宿主机攻击。
容器提供进程级隔离，但依赖主机共享内核。seccomp（安全计算模式）控制容器进程的系统调用，默认Docker seccomp配置阻止40多种危险调用。用户可自定义配置以增强安全性，结合其他安全特性形成防御模型，从而降低攻击者利用漏洞的可能性。
容器虽然高效，但共享主机内核存在安全隐患。Docker的seccomp功能通过限制系统调用来降低攻击风险，默认配置阻止高风险调用，用户可自定义配置以增强安全性。结合其他安全模块，seccomp有效防止容器逃逸和特权提升攻击，几乎不影响性能。
Abyss是一个无需ROOT的Android应用拦截框架，利用Seccomp和BPF技术配置过滤规则，提升拦截效率。通过解析进程库地址，避免死循环，并实现系统调用日志打印和回调注册，增强系统安全性。
Seccomp BPF是Linux内核的功能，用于过滤进程的系统调用。通过BPF编程，可以记录或阻止特定系统调用，从而增强进程安全性。文章介绍了Seccomp BPF的使用方法及相关代码示例。
Seccomp stands for secure computing mode and has been a feature of the Linux kernel since version 2.6.12. It can be used to sandbox the privileges of a process, restricting the calls it is able to...
最近在实现 git 商城的时候, 遇到了收款方面的问题. 不沾钱就不用为钱相关的破事费心. 不想碰钱, 钱总得收了才能发货. 不然岂不是做慈善. 所以, 我决定, 让卖家在自己的 git 仓库里放一个 js 脚本来收钱. 具体的来说, 就是每当用户要支付订单的时候, js 脚本就被运行, 要求吐出一行链接. 这个链接可以让用户进行支付. 他可以是一个收款的网页,...
完成下面两步后，将自动完成登录并继续当前操作。
