eCapture 最小权限运行指南用 Linux Capabilities 替代 root 运行 eBPF 抓包工具【免费下载链接】ecaptureCapturing SSL/TLS plaintext without a CA certificate using eBPF. Supported on Linux/Android kernels for amd64/arm64.项目地址: https://gitcode.com/GitHub_Trending/ec/ecaptureeCapture 是一款基于 eBPF 的 SSL/TLS 明文捕获工具支持 Linux / Android 内核amd64 / arm64 架构它通过加载 eBPF 程序并挂载 uprobe/TC 探针来拦截SSL_read、SSL_write等库函数调用因此对运行权限有明确要求。本指南基于仓库 docs/minimum-privileges.md 整理系统讲解 eCapture 在不同内核版本下所需的最小 Linux Capabilities以及使用sudo、setcap、Docker--cap-add三种最小权限配置方案。读完本文你将能够以非 root 身份安全运行 eCapture并理解其启动时的内核版本与权限自检逻辑。为什么 eCapture 需要提权运行eCapture 的工作链路决定了它天然需要特权加载 eBPF 程序eCapture 需要将内核态探针程序位于 kern 目录下的openssl_*.c、gotls_kern.c、tc.h等加载进内核这属于 BPF 子系统权限挂载 uprobe在libssl.so、libgnutls.so、libnspr4.so等用户态库函数上挂载用户态探针需要访问 debugfs/sys/kernel/debug读取 perf event buffereBPF 程序通过 perf 环形缓冲区把捕获结果传回用户态需要创建 perf event 的权限pcapng 模式挂载 TC 探针抓包模式通过 Traffic Control 分类器见 kern/tc.h 中的SEC(classifier)段在指定网卡上捕获原始数据包读取目标进程内存映射为定位库函数地址需要读取/proc/pid/maps这要求对目标进程有 ptrace 权限。因此运行 eCapture 需要的不是完整 root而是一组精确的 Capabilities。所需 Capabilities 清单内核 5.8推荐自 Linux 5.8 起BPF 相关权限从CAP_SYS_ADMIN中拆分出来eCapture 可以按最小粒度授权Capability用途CAP_BPF加载和管理 eBPF 程序CAP_PERFMON创建 perf event 并读取 perf buffereBPF 输出通道CAP_NET_ADMINpcapng 模式下挂载 TC流量控制探针所需CAP_SYS_PTRACE访问其他进程的内存映射读取/proc/pid/maps内核 5.8在旧内核上不存在CAP_BPF与CAP_PERFMON只能退回到更粗粒度的授权Capability用途CAP_SYS_ADMIN在旧内核上涵盖 BPF 与 perf 相关能力CAP_NET_ADMINpcapng 模式下挂载 TC 探针所需按捕获模式汇总eCapture 模式内核 5.8内核 5.8textCAP_BPFCAP_PERFMONCAP_SYS_PTRACECAP_SYS_ADMINkeylogCAP_BPFCAP_PERFMONCAP_SYS_PTRACECAP_SYS_ADMINpcapngCAP_BPFCAP_PERFMONCAP_NET_ADMINCAP_SYS_PTRACECAP_SYS_ADMINCAP_NET_ADMIN注意pcapng模式在源码层面也强制要求指定网卡在 internal/probe/openssl/openssl_probe.go 中当Ifname为空时会直接返回ifname is required for pcap mode的配置错误并通过-i参数指定网卡如ecapture tls -m pcap -i wlan0 -w save.pcapng。配置方法一使用 sudo最简单sudo ecapture tls这种方式直接授予完整 root 权限实现最简单但安全性最差——适用于快速验证场景不建议在生产环境长期使用。配置方法二使用 setcap推荐适用于重复使用用setcap将指定 Capabilities 写入 eCapture 二进制文件的扩展属性之后即可无需sudo直接运行# 内核 5.8text / keylog 模式 sudo setcap cap_bpf,cap_perfmon,cap_sys_ptraceeip /usr/local/bin/ecapture # 内核 5.8pcapng 模式额外需要 cap_net_admin sudo setcap cap_bpf,cap_perfmon,cap_net_admin,cap_sys_ptraceeip /usr/local/bin/ecapture # 内核 5.8 sudo setcap cap_sys_admin,cap_net_admin,cap_sys_ptraceeip /usr/local/bin/ecapture其中eip表示同时设置 Effective、Inheritable、Permitted 三组位effective 位决定进程实际生效的权限permitted 是进程可提升的上限inheritable 供 exec 时继承。设置完成后普通用户即可直接运行ecapture tls注意setcap写入的 Capabilities 存储在文件的扩展属性xattr中。如果替换或升级了 eCapture 二进制文件必须重新执行setcap。验证 Capabilitiesgetcap /usr/local/bin/ecapture # 期望输出: /usr/local/bin/ecapture cap_bpf,cap_perfmon,cap_sys_ptraceeip配置方法三Docker 指定 Capabilities相比--privilegedtrue会授予容器全部宿主能力并关闭 seccomp/AppArmor 等安全限制更推荐使用--cap-add精确授予所需能力# 内核 5.8 docker run --rm \ --cap-addBPF \ --cap-addPERFMON \ --cap-addNET_ADMIN \ --cap-addSYS_PTRACE \ --pidhost \ --nethost \ -v /sys/kernel/debug:/sys/kernel/debug:ro \ -v /sys/fs/bpf:/sys/fs/bpf \ gojue/ecapture:latest tls # 内核 5.8 docker run --rm \ --cap-addSYS_ADMIN \ --cap-addNET_ADMIN \ --cap-addSYS_PTRACE \ --pidhost \ --nethost \ -v /sys/kernel/debug:/sys/kernel/debug:ro \ -v /sys/fs/bpf:/sys/fs/bpf \ gojue/ecapture:latest tls⚠️ 重要生产环境应避免--privilegedtrue。它会向容器授予所有宿主 Capabilities并禁用 seccomp/AppArmor属于重大安全风险。仓库构建的官方镜像基于 alpine入口为/ecapture见 builder/Dockerfile可直接在其后追加tls等子命令。Docker 必需挂载卷挂载路径访问方式用途/sys/kernel/debug只读访问 debugfs用于 uprobe 挂载/sys/fs/bpf读写BPF 文件系统用于 pin 地图mapDocker 必需 FlagsFlag用途--pidhost访问宿主机进程命名空间追踪宿主进程所必需--nethost访问宿主机网络命名空间pcapng 模式所必需eCapture 是如何做权限自检的eCapture 在启动时会执行运行时环境检测实现位于 cli/cmd/env_detection.go由根命令的PersistentPreRunE钩子在执行任何子命令前触发见 cli/cmd/root.go。检测分为两步1. 内核版本检查detectKernel通过 pkg/util/kernel/kernel_version.go 中的CurrentKernelVersion读取系统内核版本兼容 Ubuntu 的/proc/version_signature、Debian 的/proc/version以及uname三种来源并转换为LINUX_VERSION_CODE格式进行比较。最低内核版本要求按 CPU 架构区分x86_64amd644.18aarch64arm645.5该要求同时适用于 Linux 与 Android GKI 内核不满足时直接报错退出。2. 能力检查detectBpfCap通过capget系统调用读取当前进程的 Permitted 能力集使用LINUX_CAPABILITY_VERSION_3版本头数据以两个 32 位字存储这也是注释中特意说明why 2?的原因。核心判定逻辑为若进程拥有CAP_BPF第 39 号能力位于第二字高位或若进程拥有CAP_SYS_ADMIN兼容内核 5.8 场景则通过检查否则 eCapture 会以明确错误信息退出the current user does not have CAP_BPF to load bpf programs. Please run as root or use sudo or add the --privilegedtrue flag for Docker可以看到权限不足时的兜底提示仍然是 root / sudo /--privileged这正是本文介绍的三种最小权限方案要替代的对象。安全最佳实践最小权限原则优先使用setcap或 Docker--cap-add而非直接以 root 运行限制追踪范围使用全局参数--pid见 cli/cmd/root.go默认 0 表示追踪所有进程将捕获限定到特定进程避免系统级全量捕获审计使用记录留存 eCapture 何时、因何部署的日志用后即除审计会话结束后卸载二进制或移除其 Capabilities文件权限收敛限制 eCapture 二进制的访问范围# 将二进制访问权限限制到指定组 sudo chown root:security-audit /usr/local/bin/ecapture sudo chmod 750 /usr/local/bin/ecapture与防护检测的联动最小权限是如何安全地运行对应的另一半是如何发现未授权的运行。仓库提供了配套的 docs/defense-detection.md 防护与检测指南其中给出了用bpftool prog list | grep -i uprobe检查异常 uprobe 探针、用auditctl监控bpf()系统调用、以及扫描特权容器等检测手段并同样建议用--cap-add而非--privileged运行容器。两份文档合在一起构成了安全使用 eCapture 发现滥用 eCapture的完整闭环。更深入的运行配置如-m捕获模式、-i网卡、-wpcapng 文件等参数可参考 cli/cmd/tls.go 中的命令定义与 docs/README.md。相关资源docs/defense-detection.md — 检测未授权 eBPF 工具使用的方法cli/cmd/env_detection.go — 内核版本与能力自检实现pkg/util/kernel/kernel_version.go — 内核版本解析与比较实现builder/Dockerfile — 官方镜像构建方式Linux capabilities(7) 手册页与 Docker 安全最佳实践文档对应原文档相关链接【免费下载链接】ecaptureCapturing SSL/TLS plaintext without a CA certificate using eBPF. Supported on Linux/Android kernels for amd64/arm64.项目地址: https://gitcode.com/GitHub_Trending/ec/ecapture创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考