授權協議 AGPL

開發語言 C/C++ Google Go

操作系統 跨平臺

軟件類型 開源軟件

所屬分類 程序開發、 網絡工具包

軟件簡介

eCapture 是一款基于 eBPF 技術實現的用戶態數據捕獲工具。不需要 CA 證書，即可捕獲 https/tls 的通訊明文。

項目在2022年3月中旬創建，一經發布，廣受大家喜愛，至今不到兩周已經1200多個Star。

作用

不需要CA證書，即可捕獲HTTPS/TLS通信數據的明文。

在bash審計場景，可以捕獲bash命令。

數據庫審計場景，可以捕獲mysqld/mariadDB的SQL查詢。

官網

代碼倉庫見：https://github.com/ehids/ecapture?。

產品架構

eCapture系統用戶態程序使用Golang語言開發，具有良好的系統兼容性，無依賴快速部署，更適合云原生場景。 內核態代碼使用C編寫，使用clang/llvm編譯，生產bpf字節碼后，采用go-bindata轉化為golang語法文件，之后采用ehids/ebpfmanager類庫，調用bpf syscall進行加載、HOOK、map讀取。 golang編譯后，無其他任何依賴即可運行，兼容linux kernel 4.18以上所有版本。

eBPF加載機制

關于eBPF詳細加載機制，可到https://ebpf.io/ 查閱相關原理。

實現原理

如工作原理的圖所示，在用戶態的加密解密函數中下鉤子。 tcpdump(libpcap)是在數據包接收到，XDP處理后，進行clone packet，進行包的復制，發送給用戶態進程。二者工作的所在層不一樣。

功能介紹

eCapture有三個模塊

tls/ssl明文數據捕獲

bash命令審計

mysqld數據庫審計

第一個功能適用于基于tls/ssl解密需求的運維監控、故障排查、抽樣分析場景。

第二個功能適用于安全領域的bash入侵發現場景，這里只是簡單的功能，可以在此基礎上增加其他功能。

第三個功能適用于數據庫審計場景，尤其是做數據安全、數據防泄漏，甚至入侵檢測等。同樣，可以在此基礎上擴充其他功能。?