siper

Siper（盾牌） Siper 是一款高性能、基于 XDP 的 IP 黑名单防火墙，使用 Go 和 C（eBPF）构建。它允许你在 Linux 网络栈的最早阶段——网络驱动程序级别——丢弃恶意流量。通过利用 XDP（快速数据路径），Siper 在数据包甚至到达内核繁重的网络子系统之前就对其进行处理，从而在重 DDoS 条件下提供极致性能。 特性 XDP 驱动性能 ：使用 XDPDROP 在 NIC 驱动级别进行数据包过滤，相比 iptables 或 nftables，CPU 开销显著降低。 LPM（最长前缀匹配） ：通过专用的 BPF LPM Trie 映射支持基于 CIDR 的阻止（例...

azazel

Azazel 一款轻量级的、基于 eBPF 的运行时安全追踪器，专为恶意软件分析沙箱 而设计。将一个样本放入隔离容器中，Azazel 会捕获每一个系统调用、文件操作、网络连接和可疑行为，然后以清晰的 JSON 流形式呈现所发生的一切。 无论你是在构建自动化的恶意软件分析沙箱 ，还是需要为自主 AI 代理提供 7×24 小时运行时监控 ，Azazel 都能提供精准、隐蔽且 AI 友好的 JSON 遥测数据。 CLI 参考 root@kitploit: 用法： azazel flags azazel command 命令： run-sandbox 在隔离的 Docker...

SPiCa

SPiCa Integridad de Procesos del Sistema y Análisis entre Vistas "Voy a cantar, así que brilla fuerte, SPiCa..." SPiCa es un detector de rootkits de Linux basado en eBPF escrito en Rust. El nombre proviene de la canción de Hatsune Miku SPiCa y la estrella a la que hace referencia — Spica Alfa...

Linux_LPE_eBPF_CVE-2021-3490

LinuxLPEeBPFCVE-2021-3490 Exploit de LPE para CVE-2021-3490. Probado en Ubuntu 20.04.02 y 20.10 Groovy Gorilla, kernels 5.8.0-25.26 hasta 5.8.0-52.58. y Ubuntu 21.04 Hirsute Hippo 5.11.0-16.17. La vulnerabilidad fue descubierta por Manfred Paul @manfp y corregida en este commit. autor: @chompie13...

tarian

Tarian 通过预先注册受信任的进程和受信任的文件签名，保护运行在 Kubernetes 上的应用程序免受恶意攻击。Tarian 会检测未知进程和对已注册文件的更改，然后发送告警并采取自动化操作。保护您的 K8s 环境免受勒索软件侵害！ 我们希望将此项目作为开源项目维护，以对抗针对我们最喜爱的 Kubernetes 生态系统的攻击。通过持续贡献，我们可以作为社区共同应对威胁。 Tarian 是如何工作的？ Tarian 集群代理运行在 Kubernetes 集群中，检测未知进程和对文件的未知更改，将其报告给 Tarian 服务器，并可选择采取操作：删除违规的 Pod。它使用 eBPF...

krie

KRIe KRIe is a research project that aims to detect Linux Kernel exploits with eBPF. KRIe is far from being a bulletproof strategy: from eBPF related limitations to post exploitation detections that might rely on a compromised kernel to emit security events, it is clear that a motivated attacker...

lockc

lockc is open source sofware for providing MAC Mandatory Access Control type of security audit for container workloads. The main reason why lockc exists is that containers do not contain. Containers are not as secure and isolated as VMs. By default, they expose a lot of information about host OS...

peetch

peetch peetch 是一个工具集合，旨在实验 eBPF 的各个方面以绕过 TLS 协议保护。 目前，peetch 包含三个子命令。第一个名为 dump，用于嗅探网络流量，并将每个数据包与源进程信息关联。第二个名为 tls，用于识别使用 OpenSSL 的进程，以提取加密密钥。第三个 proxy 自动拦截使用 OpenSSL 的进程的 TLS 流量，并实时解密消息。 结合使用前两个命令，可以解密以 PCAPng 格式记录的 TLS 交换。 安装 peetch 依赖多个库，包括 bcc 和 Scapy。可以使用以下命令轻松构建 Docker 镜像，以便测试 peetch：...

peetch

peetch peetch is a collection of tools aimed at experimenting with different aspects of eBPF to bypass TLS protocol protections. Currently, peetch includes three subcommands. The first called dump aims to sniff network traffic by associating information about the source process with each packet...

pamspy

pamspy -- Recolector de credenciales para Linux pamspy aprovecha las tecnologías eBPF para lograr un trabajo equivalente a 3snake. Rastrea una función particular del espacio de usuario dentro de la biblioteca PAM Módulos de Autenticación Enchufables, utilizada por muchas aplicaciones críticas par...

bpflock

bpflock - 锁定 Linux 机器 bpflock - 用于锁定和审计 Linux 机器的 eBPF 驱动安全工具。 注意：bpflock 目前处于 实验阶段 ，可能会出问题，选项和安全语义可能会发生变化，部分 BPF 程序将更新为使用 Cilium ebpf 库。 目录 1. 简介 2. 功能概述 2.1 安全特性 2.2 语义 3. 部署 4. 文档 5. 构建 1. 简介 bpflock 利用 eBPF 强化 Linux 安全。通过限制对各种 Linux 功能的访问，bpflock 能够减少攻击面并阻止一些众所周知的攻击技术。 只有像容器管理器、systemd...

ved-ebpf

VED-eBPF：使用 eBPF 进行内核利用和 Rootkit 检测 VED（Vault 利用防御）-eBPF 利用 eBPF（扩展的伯克利数据包过滤器）为 Linux 系统实现运行时内核安全监控和利用检测。 简介 eBPF 是一种内核实机，允许在无需修改内核源代码的情况下在内核中执行代码。eBPF 程序可以附加到 tracepoints、kprobes 和其他内核事件上，以高效地分析执行并收集数据。 VED-eBPF 使用 eBPF 追踪对安全敏感的内核行为，并检测可能表明存在利用或 rootkit 的异常。它提供两种主要检测：...

CVE-2022-0847-eBPF

CVE-2022-0847-eBPF 一个用于检测和防御针对 CVE-2022-0847 攻击的 eBPF 程序。 在内核空间，该程序检测 splice 系统调用，如果此类系统调用包含一个管道作为输出 fd，且管道缓冲区的标志被设置为 PIPEBUFFLAGCANMERGE ，则会提交一个事件。在用户空间，该程序会杀死调用 splice 的对应进程，并覆写 /proc/sys/vm/dropcaches 以清除页面缓存。 已在 Ubuntu Server 20.10（内核 5.8.0-25）上测试。 构建 root@kitploit: clang -g -O2 -target bpf...

LeitWacht

GitLab Runner Leitwacht 用于 GitLab Runner CI/CD 容器的网络出口强制工具。Leitwacht 通过控制每个作业容器可以访问的网络来防止供应链攻击泄露秘密。 工作原理 Leitwacht 是一个独立的代理程序，与 GitLab Runner 一起在每个节点上运行。它拦截容器启动事件，附加执行原语，并将所有网络活动报告给中央后端。无需修改 GitLab Runner。 强制栈（每个容器） root@kitploit: Container Process | | DNS 查询 端口 53 v nftables 重定向 ── DNS 代理 :15353...

LeitWacht

GitLab Runner Leitwacht Network egress enforcement for GitLab Runner CI/CD containers. Leitwacht prevents supply chain attacks from exfiltrating secrets by controlling what each job container can access on the network. How It Works Leitwacht is a standalone agent that runs alongside GitLab Runner...

LeitWacht Agent

leitwacht-agent https://leitwacht.eu — source of truth: https://gitlab.com/leitwacht/leitwacht-agent. Issues, MRs, and discussions live on GitLab. Pre-1.0. The 0.x series is pre-stable; minor releases may carry breaking changes to APIs, env-var names, helm values.yaml keys, and rule-file schema...

leaky-vessels-dynamic-detector

ADVERTENCIA Este repositorio está ahora archivado. No se realizarán más actualizaciones al código y puede ser inseguro o incluso estar roto para cuando leas este aviso. Considéralo solo con fines históricos y trátalo con cuidado. Detector Dinámico de Leaky Vessels En este repositorio encontrarás...

CVE-2026-48496 opentelemetry-ebpf-profiler: Unprivileged process can trigger a denial of service on the ebpf-profiler agent

OpenTelemetry eBPF Profiler is a production-scale agent for profiling applications across multiple programming languages. Starting in version 0.0.202527 and prior to version 0.0.202622, an unprivileged process can cause the profiler to open a nonregular mapping file, such as a FIFO, and block...

CVE-2026-48496

OpenTelemetry eBPF Profiler (versions 0.0.202527 through before 0.0.202622 ) is vulnerable to a denial of service triggered by a local, unprivileged process. The root cause is that the profiler can be induced to open a nonregular mapping file (such as a FIFO), which causes it to block indefinitel...

kestrel

La visibilidad a nivel de kernel de Falco, con la interfaz en vivo que las herramientas nativas del kernel no incluyen. Inicio rápido · Especificación · Vistas · Hoja de ruta Kestrel rastrea eventos del kernel ejecución de procesos, acceso a archivos, conexiones de red con un agente y los transmi...