sys/dev/filemon/filemon_wrapper.c

   1 /*-
   2  * SPDX-License-Identifier: BSD-2-Clause-FreeBSD
   3  *
   4  * Copyright (c) 2011, David E. O'Brien.
   5  * Copyright (c) 2009-2011, Juniper Networks, Inc.
   6  * Copyright (c) 2015-2016, EMC Corp.
   7  * All rights reserved.
   8  *
   9  * Redistribution and use in source and binary forms, with or without
  10  * modification, are permitted provided that the following conditions
  11  * are met:
  12  * 1. Redistributions of source code must retain the above copyright
  13  *    notice, this list of conditions and the following disclaimer.
  14  * 2. Redistributions in binary form must reproduce the above copyright
  15  *    notice, this list of conditions and the following disclaimer in the
  16  *    documentation and/or other materials provided with the distribution.
  17  *
  18  * THIS SOFTWARE IS PROVIDED BY JUNIPER NETWORKS AND CONTRIBUTORS ``AS IS'' AND
  19  * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  20  * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
  21  * ARE DISCLAIMED. IN NO EVENT SHALL JUNIPER NETWORKS OR CONTRIBUTORS BE LIABLE
  22  * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
  23  * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
  24  * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  25  * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
  26  * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
  27  * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  28  * SUCH DAMAGE.
  29  */
  30
  31 #include <sys/cdefs.h>
  32 __FBSDID("$FreeBSD$");
  33
  34 #include <sys/eventhandler.h>
  35 #include <sys/filedesc.h>
  36 #include <sys/imgact.h>
  37 #include <sys/priv.h>
  38 #include <sys/sx.h>
  39 #include <sys/sysent.h>
  40 #include <sys/vnode.h>
  41
  42 #include <machine/stdarg.h>
  43
  44 static void filemon_output_event(struct filemon *filemon, const char *fmt, ...)
  45     __printflike(2, 3);
  46
  47 static eventhandler_tag filemon_exec_tag;
  48 static eventhandler_tag filemon_exit_tag;
  49 static eventhandler_tag filemon_fork_tag;
  50
  51 static void
  52 filemon_output(struct filemon *filemon, char *msg, size_t len)
  53 {
  54         struct uio auio;
  55         struct iovec aiov;
  56         int error;
  57
  58         if (filemon->fp == NULL)
  59                 return;
  60
  61         aiov.iov_base = msg;
  62         aiov.iov_len = len;
  63         auio.uio_iov = &aiov;
  64         auio.uio_iovcnt = 1;
  65         auio.uio_resid = len;
  66         auio.uio_segflg = UIO_SYSSPACE;
  67         auio.uio_rw = UIO_WRITE;
  68         auio.uio_td = curthread;
  69         auio.uio_offset = (off_t) -1;
  70
  71         if (filemon->fp->f_type == DTYPE_VNODE)
  72                 bwillwrite();
  73
  74         error = fo_write(filemon->fp, &auio, filemon->cred, 0, curthread);
  75         if (error != 0 && filemon->error == 0)
  76                 filemon->error = error;
  77 }
  78
  79 static void
  80 filemon_output_event(struct filemon *filemon, const char *fmt, ...)
  81 {
  82         va_list ap;
  83         size_t len;
  84
  85         va_start(ap, fmt);
  86         len = vsnprintf(filemon->msgbufr, sizeof(filemon->msgbufr), fmt, ap);
  87         va_end(ap);
  88         /* The event is truncated but still worth logging. */
  89         if (len >= sizeof(filemon->msgbufr))
  90                 len = sizeof(filemon->msgbufr) - 1;
  91         filemon_output(filemon, filemon->msgbufr, len);
  92 }
  93
  94 static int
  95 filemon_wrapper_chdir(struct thread *td, struct chdir_args *uap)
  96 {
  97         int error, ret;
  98         struct filemon *filemon;
  99
 100         if ((ret = sys_chdir(td, uap)) == 0) {
 101                 if ((filemon = filemon_proc_get(curproc)) != NULL) {
 102                         if ((error = copyinstr(uap->path, filemon->fname1,
 103                             sizeof(filemon->fname1), NULL)) != 0) {
 104                                 filemon->error = error;
 105                                 goto copyfail;
 106                         }
 107
 108                         filemon_output_event(filemon, "C %d %s\n",
 109                             curproc->p_pid, filemon->fname1);
 110 copyfail:
 111                         filemon_drop(filemon);
 112                 }
 113         }
 114
 115         return (ret);
 116 }
 117
 118 static void
 119 filemon_event_process_exec(void *arg __unused, struct proc *p,
 120     struct image_params *imgp)
 121 {
 122         struct filemon *filemon;
 123
 124         if ((filemon = filemon_proc_get(p)) != NULL) {
 125                 filemon_output_event(filemon, "E %d %s\n",
 126                     p->p_pid,
 127                     imgp->execpath != NULL ? imgp->execpath : "<unknown>");
 128
 129                 /* If the credentials changed then cease tracing. */
 130                 if (imgp->newcred != NULL &&
 131                     imgp->credential_setid &&
 132                     priv_check_cred(filemon->cred, PRIV_DEBUG_DIFFCRED) != 0) {
 133                         /*
 134                          * It may have changed to NULL already, but
 135                          * will not be re-attached by anything else.
 136                          */
 137                         if (p->p_filemon != NULL) {
 138                                 KASSERT(p->p_filemon == filemon,
 139                                     ("%s: proc %p didn't have expected"
 140                                     " filemon %p", __func__, p, filemon));
 141                                 filemon_proc_drop(p);
 142                         }
 143                 }
 144
 145
 146                 filemon_drop(filemon);
 147         }
 148 }
 149
 150 static void
 151 _filemon_wrapper_openat(struct thread *td, const char *upath, int flags,
 152     int fd)
 153 {
 154         int error;
 155         struct file *fp;
 156         struct filemon *filemon;
 157         char *atpath, *freepath;
 158         cap_rights_t rights;
 159
 160         if ((filemon = filemon_proc_get(curproc)) != NULL) {
 161                 atpath = "";
 162                 freepath = NULL;
 163                 fp = NULL;
 164
 165                 if ((error = copyinstr(upath, filemon->fname1,
 166                     sizeof(filemon->fname1), NULL)) != 0) {
 167                         filemon->error = error;
 168                         goto copyfail;
 169                 }
 170
 171                 if (filemon->fname1[0] != '/' && fd != AT_FDCWD) {
 172                         /*
 173                          * rats - we cannot do too much about this.
 174                          * the trace should show a dir we read
 175                          * recently.. output an A record as a clue
 176                          * until we can do better.
 177                          * XXX: This may be able to come out with
 178                          * the namecache lookup now.
 179                          */
 180                         filemon_output_event(filemon, "A %d %s\n",
 181                             curproc->p_pid, filemon->fname1);
 182                         /*
 183                          * Try to resolve the path from the vnode using the
 184                          * namecache.  It may be inaccurate, but better
 185                          * than nothing.
 186                          */
 187                         if (getvnode(td, fd,
 188                             cap_rights_init(&rights, CAP_LOOKUP), &fp) == 0) {
 189                                 vn_fullpath(td, fp->f_vnode, &atpath,
 190                                     &freepath);
 191                         }
 192                 }
 193                 if (flags & O_RDWR) {
 194                         /*
 195                          * We'll get the W record below, but need
 196                          * to also output an R to distinguish from
 197                          * O_WRONLY.
 198                          */
 199                         filemon_output_event(filemon, "R %d %s%s%s\n",
 200                             curproc->p_pid, atpath,
 201                             atpath[0] != '\0' ? "/" : "", filemon->fname1);
 202                 }
 203
 204                 filemon_output_event(filemon, "%c %d %s%s%s\n",
 205                     (flags & O_ACCMODE) ? 'W':'R',
 206                     curproc->p_pid, atpath,
 207                     atpath[0] != '\0' ? "/" : "", filemon->fname1);
 208 copyfail:
 209                 filemon_drop(filemon);
 210                 if (fp != NULL)
 211                         fdrop(fp, td);
 212                 free(freepath, M_TEMP);
 213         }
 214 }
 215
 216 static int
 217 filemon_wrapper_open(struct thread *td, struct open_args *uap)
 218 {
 219         int ret;
 220
 221         if ((ret = sys_open(td, uap)) == 0)
 222                 _filemon_wrapper_openat(td, uap->path, uap->flags, AT_FDCWD);
 223
 224         return (ret);
 225 }
 226
 227 static int
 228 filemon_wrapper_openat(struct thread *td, struct openat_args *uap)
 229 {
 230         int ret;
 231
 232         if ((ret = sys_openat(td, uap)) == 0)
 233                 _filemon_wrapper_openat(td, uap->path, uap->flag, uap->fd);
 234
 235         return (ret);
 236 }
 237
 238 static int
 239 filemon_wrapper_rename(struct thread *td, struct rename_args *uap)
 240 {
 241         int error, ret;
 242         struct filemon *filemon;
 243
 244         if ((ret = sys_rename(td, uap)) == 0) {
 245                 if ((filemon = filemon_proc_get(curproc)) != NULL) {
 246                         if (((error = copyinstr(uap->from, filemon->fname1,
 247                              sizeof(filemon->fname1), NULL)) != 0) ||
 248                             ((error = copyinstr(uap->to, filemon->fname2,
 249                              sizeof(filemon->fname2), NULL)) != 0)) {
 250                                 filemon->error = error;
 251                                 goto copyfail;
 252                         }
 253
 254                         filemon_output_event(filemon, "M %d '%s' '%s'\n",
 255                             curproc->p_pid, filemon->fname1, filemon->fname2);
 256 copyfail:
 257                         filemon_drop(filemon);
 258                 }
 259         }
 260
 261         return (ret);
 262 }
 263
 264 static void
 265 _filemon_wrapper_link(struct thread *td, const char *upath1,
 266     const char *upath2)
 267 {
 268         struct filemon *filemon;
 269         int error;
 270
 271         if ((filemon = filemon_proc_get(curproc)) != NULL) {
 272                 if (((error = copyinstr(upath1, filemon->fname1,
 273                      sizeof(filemon->fname1), NULL)) != 0) ||
 274                     ((error = copyinstr(upath2, filemon->fname2,
 275                      sizeof(filemon->fname2), NULL)) != 0)) {
 276                         filemon->error = error;
 277                         goto copyfail;
 278                 }
 279
 280                 filemon_output_event(filemon, "L %d '%s' '%s'\n",
 281                     curproc->p_pid, filemon->fname1, filemon->fname2);
 282 copyfail:
 283                 filemon_drop(filemon);
 284         }
 285 }
 286
 287 static int
 288 filemon_wrapper_link(struct thread *td, struct link_args *uap)
 289 {
 290         int ret;
 291
 292         if ((ret = sys_link(td, uap)) == 0)
 293                 _filemon_wrapper_link(td, uap->path, uap->link);
 294
 295         return (ret);
 296 }
 297
 298 static int
 299 filemon_wrapper_symlink(struct thread *td, struct symlink_args *uap)
 300 {
 301         int ret;
 302
 303         if ((ret = sys_symlink(td, uap)) == 0)
 304                 _filemon_wrapper_link(td, uap->path, uap->link);
 305
 306         return (ret);
 307 }
 308
 309 static int
 310 filemon_wrapper_linkat(struct thread *td, struct linkat_args *uap)
 311 {
 312         int ret;
 313
 314         if ((ret = sys_linkat(td, uap)) == 0)
 315                 _filemon_wrapper_link(td, uap->path1, uap->path2);
 316
 317         return (ret);
 318 }
 319
 320 static void
 321 filemon_event_process_exit(void *arg __unused, struct proc *p)
 322 {
 323         struct filemon *filemon;
 324
 325         if ((filemon = filemon_proc_get(p)) != NULL) {
 326                 filemon_output_event(filemon, "X %d %d %d\n",
 327                     p->p_pid, p->p_xexit, p->p_xsig);
 328
 329                 /*
 330                  * filemon_untrack_processes() may have dropped this p_filemon
 331                  * already while in filemon_proc_get() before acquiring the
 332                  * filemon lock.
 333                  */
 334                 KASSERT(p->p_filemon == NULL || p->p_filemon == filemon,
 335                     ("%s: p %p was attached while exiting, expected "
 336                     "filemon %p or NULL", __func__, p, filemon));
 337                 if (p->p_filemon == filemon)
 338                         filemon_proc_drop(p);
 339
 340                 filemon_drop(filemon);
 341         }
 342 }
 343
 344 static int
 345 filemon_wrapper_unlink(struct thread *td, struct unlink_args *uap)
 346 {
 347         int error, ret;
 348         struct filemon *filemon;
 349
 350         if ((ret = sys_unlink(td, uap)) == 0) {
 351                 if ((filemon = filemon_proc_get(curproc)) != NULL) {
 352                         if ((error = copyinstr(uap->path, filemon->fname1,
 353                             sizeof(filemon->fname1), NULL)) != 0) {
 354                                 filemon->error = error;
 355                                 goto copyfail;
 356                         }
 357
 358                         filemon_output_event(filemon, "D %d %s\n",
 359                             curproc->p_pid, filemon->fname1);
 360 copyfail:
 361                         filemon_drop(filemon);
 362                 }
 363         }
 364
 365         return (ret);
 366 }
 367
 368 static void
 369 filemon_event_process_fork(void *arg __unused, struct proc *p1,
 370     struct proc *p2, int flags __unused)
 371 {
 372         struct filemon *filemon;
 373
 374         if ((filemon = filemon_proc_get(p1)) != NULL) {
 375                 filemon_output_event(filemon, "F %d %d\n",
 376                     p1->p_pid, p2->p_pid);
 377
 378                 /*
 379                  * filemon_untrack_processes() or
 380                  * filemon_ioctl(FILEMON_SET_PID) may have changed the parent's
 381                  * p_filemon while in filemon_proc_get() before acquiring the
 382                  * filemon lock.  Only inherit if the parent is still traced by
 383                  * this filemon.
 384                  */
 385                 if (p1->p_filemon == filemon) {
 386                         PROC_LOCK(p2);
 387                         /*
 388                          * It may have been attached to already by a new
 389                          * filemon.
 390                          */
 391                         if (p2->p_filemon == NULL) {
 392                                 p2->p_filemon = filemon_acquire(filemon);
 393                                 ++filemon->proccnt;
 394                         }
 395                         PROC_UNLOCK(p2);
 396                 }
 397
 398                 filemon_drop(filemon);
 399         }
 400 }
 401
 402 static void
 403 filemon_wrapper_install(void)
 404 {
 405
 406         sysent[SYS_chdir].sy_call = (sy_call_t *) filemon_wrapper_chdir;
 407         sysent[SYS_open].sy_call = (sy_call_t *) filemon_wrapper_open;
 408         sysent[SYS_openat].sy_call = (sy_call_t *) filemon_wrapper_openat;
 409         sysent[SYS_rename].sy_call = (sy_call_t *) filemon_wrapper_rename;
 410         sysent[SYS_unlink].sy_call = (sy_call_t *) filemon_wrapper_unlink;
 411         sysent[SYS_link].sy_call = (sy_call_t *) filemon_wrapper_link;
 412         sysent[SYS_symlink].sy_call = (sy_call_t *) filemon_wrapper_symlink;
 413         sysent[SYS_linkat].sy_call = (sy_call_t *) filemon_wrapper_linkat;
 414
 415 #if defined(COMPAT_FREEBSD32)
 416         freebsd32_sysent[FREEBSD32_SYS_chdir].sy_call = (sy_call_t *) filemon_wrapper_chdir;
 417         freebsd32_sysent[FREEBSD32_SYS_open].sy_call = (sy_call_t *) filemon_wrapper_open;
 418         freebsd32_sysent[FREEBSD32_SYS_openat].sy_call = (sy_call_t *) filemon_wrapper_openat;
 419         freebsd32_sysent[FREEBSD32_SYS_rename].sy_call = (sy_call_t *) filemon_wrapper_rename;
 420         freebsd32_sysent[FREEBSD32_SYS_unlink].sy_call = (sy_call_t *) filemon_wrapper_unlink;
 421         freebsd32_sysent[FREEBSD32_SYS_link].sy_call = (sy_call_t *) filemon_wrapper_link;
 422         freebsd32_sysent[FREEBSD32_SYS_symlink].sy_call = (sy_call_t *) filemon_wrapper_symlink;
 423         freebsd32_sysent[FREEBSD32_SYS_linkat].sy_call = (sy_call_t *) filemon_wrapper_linkat;
 424 #endif  /* COMPAT_FREEBSD32 */
 425
 426         filemon_exec_tag = EVENTHANDLER_REGISTER(process_exec,
 427             filemon_event_process_exec, NULL, EVENTHANDLER_PRI_LAST);
 428         filemon_exit_tag = EVENTHANDLER_REGISTER(process_exit,
 429             filemon_event_process_exit, NULL, EVENTHANDLER_PRI_LAST);
 430         filemon_fork_tag = EVENTHANDLER_REGISTER(process_fork,
 431             filemon_event_process_fork, NULL, EVENTHANDLER_PRI_LAST);
 432 }
 433
 434 static void
 435 filemon_wrapper_deinstall(void)
 436 {
 437
 438         sysent[SYS_chdir].sy_call = (sy_call_t *)sys_chdir;
 439         sysent[SYS_open].sy_call = (sy_call_t *)sys_open;
 440         sysent[SYS_openat].sy_call = (sy_call_t *)sys_openat;
 441         sysent[SYS_rename].sy_call = (sy_call_t *)sys_rename;
 442         sysent[SYS_unlink].sy_call = (sy_call_t *)sys_unlink;
 443         sysent[SYS_link].sy_call = (sy_call_t *)sys_link;
 444         sysent[SYS_symlink].sy_call = (sy_call_t *)sys_symlink;
 445         sysent[SYS_linkat].sy_call = (sy_call_t *)sys_linkat;
 446
 447 #if defined(COMPAT_FREEBSD32)
 448         freebsd32_sysent[FREEBSD32_SYS_chdir].sy_call = (sy_call_t *)sys_chdir;
 449         freebsd32_sysent[FREEBSD32_SYS_open].sy_call = (sy_call_t *)sys_open;
 450         freebsd32_sysent[FREEBSD32_SYS_openat].sy_call = (sy_call_t *)sys_openat;
 451         freebsd32_sysent[FREEBSD32_SYS_rename].sy_call = (sy_call_t *)sys_rename;
 452         freebsd32_sysent[FREEBSD32_SYS_unlink].sy_call = (sy_call_t *)sys_unlink;
 453         freebsd32_sysent[FREEBSD32_SYS_link].sy_call = (sy_call_t *)sys_link;
 454         freebsd32_sysent[FREEBSD32_SYS_symlink].sy_call = (sy_call_t *)sys_symlink;
 455         freebsd32_sysent[FREEBSD32_SYS_linkat].sy_call = (sy_call_t *)sys_linkat;
 456 #endif  /* COMPAT_FREEBSD32 */
 457
 458         EVENTHANDLER_DEREGISTER(process_exec, filemon_exec_tag);
 459         EVENTHANDLER_DEREGISTER(process_exit, filemon_exit_tag);
 460         EVENTHANDLER_DEREGISTER(process_fork, filemon_fork_tag);
 461 }