如何在运行时查看进程中已安装的seccomp过滤器？

方法1：使用seccomp-tools工具 #

这是最便捷的方案，专门用于分析seccomp过滤器。安装后直接执行：

seccomp-tools dump -p <进程PID>

它会输出该进程所有seccomp过滤器的详细规则，包括系统调用编号、匹配条件、执行动作（如ALLOW、KILL等）。如果系统未预装，可通过包管理器安装（Debian/Ubuntu用apt install seccomp-tools，RHEL/CentOS用yum install seccomp-tools）。

方法2：通过/proc文件系统查看基础状态 #

如果仅需确认进程是否启用seccomp及模式，查看/proc/<pid>/status中的Seccomp字段：

grep Seccomp /proc/<pid>/status

输出值对应说明：

• 0：未启用seccomp
• 1：启用严格模式（仅允许read、write、exit、sigreturn四个系统调用）
• 2：启用过滤模式（存在自定义规则）

但此方法仅能看到模式，无法获取具体过滤规则细节。

方法3：利用libseccomp调试接口（自定义进程适用） #

如果是你自行开发的进程，在安装seccomp过滤器时，可调用seccomp_export_bpf()将过滤器导出为BPF字节码，再通过bpftool或scmp_syscalls解析。不过这需要进程代码预留相关逻辑，不适用于第三方进程。

注意事项 #

• 查看其他用户的进程需要root权限，否则会提示权限不足。
• 部分容器化环境中，可能需要额外权限才能访问进程的seccomp信息。

内容的提问来源于stack exchange，提问作者drdot