网络安全【免费下载链接】sliverAdversary Emulation Framework项目地址https://gitcode.com/gh_mirrors/sl/sliver点击查看免费下载本篇技术指南以 Sliver 仓库中 vendored 的 golang.org/x/sys/unix README 为核心剖析 Go 语言sys/unix包如何通过两套构建系统传统本机构建与 Docker 容器化构建自动生成平台相关的系统调用代码并逐一拆解asm、mksysnum、mksyscall.go、types、mkerrors.sh、internal/mkmerge等组件文件与zerrors_*、zsyscall_*、zsysnum_*、ztypes_*等生成产物。读完本文你将掌握为新增 GOOS/GOARCH 组合或新系统调用扩展sys/unix的完整方法论并理解这些底层能力如何支撑 Sliver 植入体在 Linux/macOS 等目标平台上的进程操作、任务执行与系统探测功能。一、背景sys/unix在 Sliver 中的角色golang.org/x/sys/unix提供了对底层操作系统原始系统调用接口的直接访问。该包的文档注释明确指出见 syscall.goPackage unix contains an interface to the low-level operating system primitives.它主要服务于os、time、net等更上层的可移植接口包而在本仓库中它被 vendor 进 Sliver 的植入体代码成为 handlers_linux.go、task_linux.go、version_linux.go 等文件实现平台特定行为的直接依赖。理解它的代码生成机制本质上是理解Go 如何安全、批量地把 C 头文件里的系统调用定义翻译成 Go 绑定。由于sys/unix需要支持几十种 GOOS/GOARCH 组合本仓库 vendored 目录中即可看到darwin_amd64、freebsd_arm64、linux_loong64、openbsd_riscv64、zos_s390x等大量平台变体手写所有绑定既不现实也不可维护因此该包的核心工程问题就是如何自动、可复现地生成这些文件。二、两套构建系统从本机依赖到容器可复现README 记录了项目正处于构建系统迁移期目前维护两套并行方案2.1 旧构建系统当前用于GOOS ! linux的平台旧系统的思路是以本机 C 头文件为源给定 GOOS/GOARCH 组合的 Go 文件必须在具有该 OS 和架构的机器上生成由于不同机器头文件存在差异生成的代码可能因环境而不同因此 README 明确要求只在未修改过头文件的安装环境上生成代码并记录生成时使用的 OS 版本如 Darwin 14 vs Darwin 15使每次 OS 升级对应一次可追踪的变更。操作方式正确设置GOOS与GOARCH后运行mkall.sh即可为当前系统生成全部文件mkall.sh -n只打印将要执行的命令而不实际执行。依赖项仅需bash和go。仓库中的 mkall.sh 正是这套逻辑的落地脚本以GOOS_GOARCH为键进行 case 分发例如darwin_amd64会执行mkerrors -m64、go tool cgo -godefs与go run mkasm.go而freebsd_arm则会额外加-l32 -arm参数并传入-- -fsigned-char以保证 C char 类型在各平台一致性。2.2 新构建系统当前用于GOOS linux新系统的思路是以源码 checkout 为源使用 Docker 容器直接从内核与系统库的源码 checkout生成 Go 文件只要宿主机支持 Docker就能一次性生成所有采用新系统的平台文件生成结果与运行脚本的人本机装了什么完全无关从根本上解决可复现性问题。文件组织上各 OS 专属文件位于${GOOS}目录构建由${GOOS}/mkall.go程序统一协调当内核或系统库升级时只需修改${GOOS}/Dockerfile中 checkout 的新版本号。在 vendored 副本的 mkall.sh 中可以清晰看到这条分支当GOOSlinux时脚本直接执行docker build --tag generate:linux linux并以/build挂载目录运行容器随后退出不再走下方针对各 BSD/AIX/Solaris 的逐平台分支。注意linux/mkall.go、linux/Dockerfile、linux/types.go等属于 x/sys 上游仓库的源码文件因不参与编译而未被 vendor 进本仓库读者在阅读时可将 mkall.sh 的 Docker 分支与 README 描述相互印证。三、组件文件代码生成的原料与生产线README 用一整节描述参与代码生成的各种组件文件并给出为新增架构/OS 或新增 syscall、类型、常量时的修改指引。3.1 asm 文件系统调用派发入口手写的汇编文件asm_${GOOS}_${GOARCH}.s实现系统调用派发提供三个核心入口func Syscall(trap, a1, a2, a3 uintptr) (r1, r2, err uintptr) func Syscall6(trap, a1, a2, a3, a4, a5, a6 uintptr) (r1, r2, err uintptr) func RawSyscall(trap, a1, a2, a3 uintptr) (r1, r2, err uintptr)前两者是标准入口区别仅在可传递给内核的参数个数3 个 vs 6 个第三个RawSyscall供 ForkExec 包装器低层使用不会调用调度器告知系统调用正在运行。以仓库中的 asm_linux_amd64.s 为例Syscall/Syscall6/RawSyscall直接 JMP 到标准库syscall包的实现运行时已知晓这些符号而SyscallNoError则内联完成CALL runtime·entersyscall通知调度器、将参数装入 DI/SI/DX/R10/R8/R9、把 trap 号装入 AX、执行SYSCALL指令、从 AX/DX 取回返回值再CALL runtime·exitsyscall。这段汇编直观展示了为什么 Syscall 需要调度器协作、而 RawSyscall 不需要。当把 Go 移植到新的架构/OS 时必须为每个 GOOS/GOARCH 组合手写该文件——它没有自动化捷径。3.2 mksysnum从头文件提取 syscall 编号mksysnum是一个 Go 程序位于${GOOS}/mksysnum.go旧系统为mksysnum_${GOOS}.go。它接收包含 syscall 编号声明的头文件列表解析后产出对应的 Go 数值常量写入zsysnum_${GOOS}_${GOARCH}.go。仓库中 zsysnum_linux_amd64.go 的首行注释恰好保留了它的调用命令// go run linux/mksysnum.go -Wall -Werror -static -I/tmp/amd64/include -m64 /tmp/amd64/include/asm/unistd.h生成结果就是SYS_READ 0、SYS_WRITE 1、SYS_OPEN 2…… 这一整张编号表它们是后续 mksyscall 绑定的查表依据。新增 syscall 编号通常只需在足够新的目标 OS 环境上运行构建新系统则更新源码 checkout少数情况下需同步更新 mksysnum 的解析逻辑。3.3 mksyscall.go//sys注释驱动的绑定生成器手写的syscall.go、syscall_${GOOS}.go、syscall_${GOOS}_${GOARCH}.go实现需要特殊处理的系统调用并通过//sys注释给出可自动生成的函数原型。mksyscall.go程序读取//sys与//sysnb注释并转换为系统调用绑定其前提是注释中的原型名称必须与zsysnum_${GOOS}_${GOARCH}.go中的某个 syscall 编号匹配。在 syscall_linux.go 中可以找到大量真实原型例如//sys FanotifyInit(flags uint, event_f_flags uint) (fd int, err error) //sys ioctl(fd int, req uint, arg uintptr) (err error) SYS_IOCTL //sys openat(dirfd int, path string, flags int, mode uint32) (fd int, err error)注意 SYS_IOCTL这种显式指定编号的写法以及原型名可导出首字母大写也可不导出。新增一个系统调用的最常见路径就是加上一行带大写名称、含目标参数的//sys原型即可若希望对外接口与原始 syscall 不同则写一个不导出的//sys原型再在syscall_${GOOS}.go中手写包装函数。3.4 types 文件C 类型到 Go 类型的桥接每个 OS 有一个手写的${GOOS}/types.go旧系统为types_${GOOS}.go内容包括标准 C 头文件引入与 C 类型别名。处理流水线为将 types 文件喂给godef得到 Go 兼容的定义生成结果再经mkpost.go格式化并剔除隐藏/私有标识符最终写入ztypes_${GOOS}_${GOARCH}.go。README 特别强调准备该文件最难的部分是确定包含哪些头文件、需要#define哪些符号——部分 C 库为二进制兼容准备了替代版本并在进出系统调用时翻译但几乎总能找到一个#define拿到真实结构。它给出types_darwin.go与linux/types.go作为范例。仓库中可直接查阅对应生成物 ztypes_linux_amd64.go 了解最终形态。新增类型时在文件头部补上所需 include若已有则跳过再加一行类型别名若该类型在不同架构上差异显著则需要在 include 中使用#if/#elif宏。3.5 mkerrors.sh常量含错误号与信号的收割机mkerrors.sh 用于生成系统的各类常量——不止错误号与错误字符串还包括信号编号与大量杂项常量常量来源是includes_${uname}变量中的 include 文件清单仓库脚本中可见includes_AIX、includes_Darwin等定义如 Darwin 需要_DARWIN_C_SOURCE、_DARWIN_USE_64_BIT_INODE等预处理宏通过正则从#define语句中挑出目标常量并生成对应 Go 常量错误号/字符串来自#include errno.h信号号/字符串来自#include signal.h所有常量最终由 C 程序_errors.c打印并写入zerrors_${GOOS}_${GOARCH}.go。脚本开头还会校验GOOS/GOARCH已定义并强制 Linux 下必须通过 Docker 构建系统调用直接执行会报错退出这正是 README 所述两套系统分界的具体实现。新增常量时把包含它的头文件加入相应变量必要时调整正则——README 警告不要把正则写得太宽以免误匹配无关常量。3.6 internal/mkmerge跨架构去重合并internal/mkmerge用于从各架构专属生成文件中抽取重复的 const、func、type 声明合并进每个 OS 的公共文件。合并分两步构造在所有架构专属文件中完全相同的公共代码集合将公共代码写入合并文件并从各架构专属文件中移除。这解释了为何仓库中zerrors_linux.go、zsyscall_linux.go、ztypes_linux.go与zerrors_linux_amd64.go等文件并存前者是 mkmerge 的合并产物后者保留架构特有内容。四、生成产物四类z*文件一览生成文件内容生成工具zerrors_${GOOS}_${GOARCH}.go错误号、错误字符串、信号号与各类常量mkerrors.shzsyscall_${GOOS}_${GOARCH}.go特定 GOOS/GOARCH 的全部系统调用绑定mksyscall.gozsysnum_${GOOS}_${GOARCH}.go所有 syscall 编号的数值常量表mksysnumztypes_${GOOS}_${GOARCH}.go传入/返回系统调用的 Go 类型定义godefs types 文件在 vendored 目录中这些文件全部可查证例如 zsyscall_linux_amd64.go、zerrors_linux_amd64.go、ztypes_linux_amd64.go且每个文件首行都保留着用于再生的完整命令——这也是mkall.sh -syscalls分支能够工作的前提读取生成文件首行注释、去掉//前缀后交由 shell 执行即可单独再生成该系统调用文件。五、实践要点为sys/unix新增能力的最小路径综合 README 与仓库源码可以把扩展工作归纳为四条最小路径新增 syscall在syscall_${GOOS}.go或对应架构文件加一行导出名//sys原型若接口需定制用不导出原型 手写包装。新增常量在mkerrors.sh的includes_${uname}中加入头文件必要时收紧正则重跑mkerrors.sh并 gofmt。新增类型在${GOOS}/types.go旧系统types_${GOOS}.go加入 include 与类型别名跨架构差异用条件编译宏处理。移植新平台必须手写asm_${GOOS}_${GOARCH}.s汇编派发文件其余部分尽量复用生成管线且新构建系统下所有脚本/程序只能在 Docker 容器内调用不可直接在本机执行。同时牢记两条纪律旧构建系统只在头文件未被修改的干净环境生成并记录 OS 版本新构建系统要求 amd64/Linux 宿主机且GOOS/GOARCH设置正确运行mkall.sh可一次性生成新系统覆盖的所有平台文件mkall.sh -n用于预览命令。六、回到 Sliver这份机制的实际价值对于 Sliver 这样的对抗模拟Adversary Emulation框架植入体需要在不同目标平台上稳定执行进程枚举、任务注入、系统版本探测等操作而这些底层能力正是通过sys/unix的系统调用绑定实现的。本仓库以 vendor 形式将golang.org/x/sys/unix固化进 implant/vendor/golang.org/x/sys/unix使构建结果不依赖开发机本机的头文件环境这与 README 强调的可复现构建目标一脉相承。对想要深入 Sliver 植入体开发的读者建议从两条线索入手交叉阅读一是本 README 描述的生成机制与 mkall.sh 的实际分支逻辑理解哪些文件是手写、哪些是生成、如何再生二是 handlers_linux.go、task_linux.go 中对unix.*的实际调用观察高层功能如何消费这些底层绑定。理解代码生成机制后你在为 Sliver 适配新平台或新系统调用时就能准确判断该改哪个源文件、再跑哪条生成命令而不会误改任何z*生成物。赞分享网络安全【免费下载链接】sliverAdversary Emulation Framework项目地址https://gitcode.com/gh_mirrors/sl/sliver点击查看免费下载相关推荐tiny11builder 实操指南3 步做出能装老电脑的 Windows 11 精简 ISOtiny11builder 实操指南3 步做出能装老电脑的 Windows 11 精简 ISO 老机器装上 Windows 11 后卡成幻灯片或者干脆卡在网络安全漏洞扫描渗透测试应用安全Podman 仓库中的 golang.org/x/sys/unix 包系统调用代码生成与构建机制深度解析Podman 仓库中的 golang.org/x/sys/unix 包系统调用代码生成与构建机制深度解析 导读 本文以 Podman 仓库内 vendored容器运行时云原生CLIgolang.org/x/sys/unix 代码生成机制深度解析从 C 头文件到 Go 系统调用绑定golang.org/x/sys/unix 代码生成机制深度解析从 C 头文件到 Go 系统调用绑定 本文档 vendor/golang.org/x/sys开发工具创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考