如何使用eBPF拦截Go程序的HTTPS调用？

1. 替换标准库函数（运行时钩子） #

Go的SSL/TLS功能依赖crypto/tls标准库，上层网络库（比如net/http）最终都会调用这个库的核心函数。你可以通过替换包级函数或修改配置来拦截TLS操作：

• 针对HTTP客户端：自定义DialTLSContext函数，替换http.Transport中的对应字段，所有通过该客户端发起的HTTPS请求都会走自定义逻辑，比如记录握手信息、调整证书验证流程：

import (
    "net"
    "net/http"
    "crypto/tls"
)

func customDialTLS(network, addr string, cfg *tls.Config) (net.Conn, error) {
    // 插入拦截逻辑：比如打印目标地址、修改TLS配置参数
    conn, err := tls.Dial(network, addr, cfg)
    if err == nil {
        println("Intercepted TLS connection to:", addr)
        // 可在此处添加流量读写、篡改的逻辑
    }
    return conn, err
}

// 配置使用自定义DialTLS的HTTP客户端
client := &http.Client{
    Transport: &http.Transport{
        DialTLS: customDialTLS,
    },
}

• 针对底层TLS连接：直接替换tls.Dial或tls.Client函数，覆盖全局的TLS连接逻辑。

2. 编译时注入自定义实现 #

如果能获取目标Go程序的源码，可以通过构建标签或替换标准库依赖注入拦截逻辑：

• 实现一个与crypto/tls接口兼容的自定义包，编译时通过-mod=vendor或构建标签让程序使用你的自定义包而非标准库，所有TLS操作都会经过你编写的拦截代码。
• 直接修改源码中tls.Config的GetClientCertificate或VerifyConnection方法，插入自定义的证书验证或流量监控逻辑。

3. 动态插桩与内核级追踪 #

Go程序默认静态链接所有依赖，传统共享库拦截（如LD_PRELOAD）无效，但可通过以下动态方式实现拦截：

• 使用eBPF：通过内核层面的追踪能力，捕获Go程序中TLS相关函数的调用事件，比如追踪tls.Conn的读写方法，无需修改源码或重启进程。
• 使用Go官方工具链：通过go tool trace或golang.org/x/tools中的动态插桩工具，在运行时向目标函数注入拦截代码，实现对TLS操作的监控或修改。

4. 代理中间层拦截 #

如果目标程序是HTTP/HTTPS客户端，可通过代理服务器间接拦截TLS流量：

• 配置系统环境变量HTTP_PROXY/HTTPS_PROXY，让所有请求经过自定义代理；或在代码中修改http.Client的Proxy字段指向代理地址。
• 代理服务器生成自签名证书，客户端需信任该证书，这样代理即可解密HTTPS流量，实现拦截、修改或记录请求内容。

内容的提问来源于stack exchange，提问作者Evan Rolfe