如何使用 seccomp 执行仅具有明确允许的系统调用集的程序？

Question

Linux有安全计算该功能可用于根据以下条件过滤系统调用特别节目。

甚至还有dropper.c演示允许通过一个系统调用返回给定的错误来启动程序。

是否有人已经实现了任何非演示版、更易用的 seccomp 包装器，允许我使用系统调用白名单来执行程序？预期结果如下：

# limit_syscalls  access brk close connect dup \
      execve exit_group fcntl64 fstat64 getsockname \
      getuid32 mmap2 mprotect munmap open read set_thread_area \
      setuid32 socket write -- /bin/ping 127.0.0.1

Answer 1

自己实现的使用库。