因为bpf_probe_write_user 只能对可写的用户内存页面进行修改，而对只读内存则无法进行修改，例如rodata以及text 段的内容。本文对bpf_probe_write_user 打补丁，以支持此功能，以应对日益强大的对抗
本文需要密码，无偿阅读请微信LLeavesG联系作者获取。BPF 的 bpf_probe_write_user 功能十分强大，它可以修改用户空间的内存，可以用于进程隐藏或者绕过环境检测等操作，本文为bpf_probe_write_user 添加修改只读内存的功能，以对抗360加固企业版Frida检测。
在使用BCC与python结合对Android的openat syscall进行追踪时发现一个很有趣的问题，在此记录 首先是BCC文档中给出如何trace syscall 的教程，这里提到必须要syscall__为前缀，很好奇为什么必须要这个前缀，于是开始进行测试。
