Awesome GitHub RepositoriesSystem Call Interceptors

This project is a secure container runtime that provides strong isolation for application workloads by implementing a userspace kernel. By intercepting system calls and executing them within a memory-safe, restricted environment, it minimizes the attack surface exposed to the host kernel. It functions as a drop-in engine for standard container orchestration platforms, ensuring compatibility with industry-standard runtime specifications while maintaining a hardened execution boundary. The runtime distinguishes itself through its ability to virtualize core system resources, including an indepen

Redox is a POSIX-compliant, microkernel-based operating system written entirely in Rust. By utilizing a memory-safe language for the kernel and all system components, the project eliminates common vulnerabilities such as buffer overflows and use-after-free errors. Its architecture relies on a minimal kernel that manages only essential hardware and process isolation, delegating all other system services to unprivileged user-space processes. The system distinguishes itself through a modular design where hardware drivers and system services run as independent user-space daemons, allowing them to

Darling is a translation layer that enables the native execution of unmodified macOS binaries on Linux systems. It functions as a compatibility environment that maps macOS-specific system calls and environment variables to the host Linux kernel, allowing desktop applications to run without the need for full hardware virtualization or emulation. The project achieves this by implementing a user-space kernel emulation environment that intercepts and translates kernel traps into their Linux equivalents. It includes a custom loader for binary files that resolves dependencies against open-source im

XNU هي نواة نظام تشغيل هجينة تجمع بين بنية النواة الدقيقة وطبقة متجانسة لخدمات النظام. توفر أساساً لتطوير نظام التشغيل، وتدمج واجهات استدعاء النظام القياسية، وإطار عمل تعريف جهاز معياري، وأمن التحكم في الوصول الإلزامي. تتميز البنية بنواة دقيقة قائمة على Mach وطبقة متجانسة قائمة على BSD. تستخدم ناقل تواصل بين العمليات قائم على تمرير الرسائل لتبادل البيانات الآمن بين مكونات النواة المعزولة وعمليات مساحة المستخدم، إلى جانب إطار عمل تعريف موجه للكائنات يفصل المنطق الخاص بالأجهزة عن النواة الأساسية. يتضمن النظام محرك تحكم في الوصول إلزامي لفرض الأمن القائم على السياسة ومصحح أخطاء نواة بعيد لفحص الذاكرة الحية وتحليل ذعر النظام. تغطي القدرات الإضافية جدولة المعالجات المتعددة، وتنسيق موارد الأجهزة، ونظام بناء لتوليد صور قابلة للتمهيد عبر بنيات مختلفة. يوفر المشروع أدوات لإدارة بناء النواة، وتوليد رموز التصحيح، وإطار عمل للتحقق من استدعاء النظام.

rr is a deterministic record and replay framework and reverse debugger for Linux processes. It provides a deterministic execution environment that captures program execution, allowing bugs and crashes to be reproduced exactly through replay. The tool enables reverse program execution, allowing a developer to move the program counter backward through recorded history to trace a bug from its effect back to its source. It utilizes a recording mechanism that ensures a process run can be replayed with identical memory and register states. The framework covers low-level software analysis and nativ

Proxychains-ng is a utility for POSIX-compliant systems that redirects network traffic and domain name lookups through proxy chains. It functions by intercepting system calls and forcing outgoing TCP connections through a sequence of SOCKS4, SOCKS5, or HTTP proxies without requiring modifications to the target application source code. The tool distinguishes itself by utilizing dynamic library preloading to override standard network functions, allowing it to wrap socket-level traffic and route it through multiple intermediate servers. It supports various routing strategies, including strict, r

BlocksKit is a low-level utility library for Apple platform development, specifically designed for managing the execution flow and memory of blocks within macOS and iOS applications. It provides a collection of helper functions to simplify the use of blocks in Objective-C and C, reducing boilerplate code and addressing inherent technical limitations. The library focuses on bridging Objective-C blocks with legacy C-based APIs by providing compatible wrapper structures and function-pointer emulation. It enables the passing of blocks through system interfaces that require strict C-style callback

Rushstack هي مجموعة أدوات شاملة لإدارة مستودعات TypeScript الكبيرة (monorepos)، توفر إطار عمل لأتمتة خط أنابيب البناء، وتنسيق التبعية، والتحليل الثابت. تعمل كمنسق بناء تزايدي ونظام إدارة مصمم للحفاظ على الاتساق والأداء عبر حزم متعددة في مساحة عمل مشتركة. يتميز النظام من خلال نموذج تنفيذ قائم على الرسوم البيانية غير الدورية الموجهة والتزايد القائم على تجزئة المحتوى، مما يضمن إعادة بناء المشاريع المتأثرة فقط. كما يعمل على تحسين تدفقات عمل التطوير عبر التخزين المؤقت لآثار البناء عن بعد مع تكاملات لـ S3 وAzure وHTTP، ويستخدم إدارة مساحة العمل القائمة على الروابط الرمزية (symlink) للرؤية الفورية للتغييرات المحلية. تغطي مجموعة الأدوات مجموعة واسعة من القدرات بما في ذلك تدفقات عمل الإصدار المؤتمتة، وتحليل عقد API، وفرض جودة الكود على مستوى المؤسسة من خلال ملفات تعريف التدقيق (linting) المعيارية. كما توفر دعماً واسعاً لتجميع الأصول، وتحويل TypeScript، وتوليد تعريفات النوع من مخططات JSON والأصول الثابتة. تشمل مجالات المرافق الإضافية إدارة التوطين، وتوليد إشعارات الترخيص، وتنسيق واجهات سطر الأوامر مع مخرجات العمليات المتزامنة.

LXD is a unified platform for managing both system containers and virtual machines through a single REST API and command-line interface. It provides a programmatic HTTP interface for controlling the full lifecycle of instances, enabling automation and integration with external tools. The system runs unprivileged containers with per-instance UID/GID mappings, seccomp filters, and AppArmor profiles for kernel-level isolation, while supporting multiple storage backends including directory, Btrfs, LVM, ZFS, Ceph, LINSTOR, and TrueNAS through a unified driver interface. The platform distinguishes

TrickyStore is an Android device integrity emulator and keystore attestation spoofer. It functions as a framework to intercept keystore calls and provide modified certificate chains and security metadata to bypass hardware attestation requirements. The project enables the injection of hardware keyboxes and the modification of key attestation certificates to simulate a secure root of trust. It allows for the overriding of security patch levels and operating system versions to mask a device's identity and state from third party applications. The system includes capabilities for application-spe

Incus is a unified orchestration platform for managing system containers, OCI application containers, and virtual machines through a single control plane. It brings together cluster infrastructure management, secure multi-tenancy, software-defined networking, and pluggable storage backend orchestration into one cohesive system exposed via a full REST API and command-line interface. What distinguishes Incus is its ability to run multiple instance types side by side—full Linux system containers, OCI application containers, and QEMU virtual machines—all managed with consistent tooling. Networkin

Sylar هو إطار عمل خادم C++ غير متزامن عالي الأداء ومكتبة شبكة قائمة على الأحداث. يعمل كمجدول coroutine وتنفيذ خادم HTTP مصمم لبناء خدمات الشبكة باستخدام I/O غير المحظور. يتميز المشروع بمعترض استدعاء النظام الذي يربط مقابس الحظر و APIs النوم، محولًا العمليات المتزامنة إلى أحداث غير متزامنة غير محظورة. يستخدم نظام خيوط مساحة المستخدم لتوزيع المهام خفيفة الوزن عبر مجمع خيوط العامل لزيادة استخدام CPU. يغطي إطار العمل مجموعة واسعة من قدرات الشبكة والنظام، بما في ذلك تحليل بروتوكول HTTP القائم على آلة الحالة، وتوجيه URI للمطابقة الغامضة، وواجهة مقبس موحدة لأنواع العناوين المختلفة. كما يوفر أدوات لمزامنة الموارد المتزامنة، وتسجيل التطبيق المنظم، وتسلسل البيانات الثنائية، وإدارة تكوين وقت التشغيل.

Dexposed هي مجموعة من أدوات ومحركات وقت التشغيل مصممة للتصحيح الديناميكي، واعتراض إطار العمل، وتجهيز الكود على أجهزة Android. تعمل كإطار عمل للربط (hooking) وأداة تجهيز تستخدم لتحميل كود مخصص في العمليات الجارية لتغيير المنطق دون تعديل البايت كود الأصلي. يتيح المشروع اعتراض وتعديل سلوك الطريقة داخل كل من تطبيقات Android وإطار عمل النظام. يوفر بشكل خاص قدرات لتجاوز قيود نظام التشغيل عن طريق تجاوز استدعاءات إطار العمل وتطبيق تصحيحات ساخنة على العمليات الحية دون الحاجة إلى إعادة التشغيل. تغطي مجموعة الأدوات قدرات تجهيز واسعة، بما في ذلك اعتراض عمليات تنفيذ الطريقة، وإعادة توجيه استدعاءات الطريقة الفائقة، ومراقبة سلوك مستوى النظام من خلال اعتراض وقت التشغيل.

xHook is a low-level instrumenter and hooking library for Android ELF binaries. It functions as a framework for intercepting native symbols and redirecting function calls by modifying the procedure linkage table. The tool utilizes regular expressions to filter specific binary files and symbols for interception. It enables the redirection of native calls toward custom function implementations without altering the original binary files. The framework covers dynamic symbol resolution, ELF table modification, and security analysis of native libraries. It also includes stability mechanisms that u

هذا المشروع عبارة عن مورد تعليمي يوفر برنامجاً تعليمياً شاملاً للتطوير لكتابة وتحميل برامج eBPF باستخدام C وGo وRust داخل نواة Linux. يعمل كدليل تقني لتطوير منطق مخصص للتنفيذ مباشرة في النواة. تغطي المواد مجالات متخصصة بما في ذلك مراقبة النواة والتتبع، وتنفيذ الأمان للكشف عن التسلل، وهندسة الشبكات عالية الأداء لتصفية الحزم وموازنة الحمل. كما يتضمن أدلة مخصصة لتتبع نواة Linux واستخدام kprobes وuprobes وtracepoints. يشمل المشروع مجموعة واسعة من مجالات القدرات، مثل أجهزة النواة، ومراقبة النظام، وتحليل الشبكات، وإنفاذ الأمان. كما يمتد إلى تصحيح الأخطاء على مستوى الأجهزة لوحدات معالجة الرسومات والمشغلات، بالإضافة إلى معالجة النظام منخفضة المستوى وإدارة الموارد.

Binsider is a collection of specialized toolsets for hexadecimal editing, ELF structural analysis, system call tracing, and execution performance profiling. It provides a suite of utilities designed for binary reverse engineering, encompassing both static structural analysis and dynamic runtime monitoring of compiled binaries. The project distinguishes itself by combining low-level binary manipulation, such as a hex editor for raw byte modification, with an ELF binary analysis tool for inspecting file structures and metadata. It also includes a Linux system call tracer for observing dynamic b

Revive is an OpenVR runtime wrapper and virtual reality driver emulator. It serves as a hardware compatibility layer that enables virtual reality games designed for specific proprietary hardware to run on OpenVR compatible devices. The project functions by translating proprietary system calls into open standards, which allows software designed for the Oculus Rift to operate on other headsets such as the HTC Vive or Valve Index. It achieves this by mimicking the identity of supported hardware to bypass software compatibility checks. This is implemented through a runtime wrapper that intercept

Fastsocket is a high-performance Linux socket implementation designed for linear scalability on multicore systems. It functions as a TCP throughput optimizer and a multicore packet steering engine that reduces system call overhead and lock contention to increase total network processing capacity. The project distinguishes itself through a network system call interceptor that uses a shared library to redirect standard socket calls to optimized interfaces without requiring changes to application binaries. It employs active connection steering by encoding CPU core IDs into source ports and utili

This project is an OS-level process sandbox and cross-platform security wrapper for Linux and macOS. It is designed to isolate arbitrary processes from the host machine by restricting filesystem and network access without the use of full containerization. The system functions as a system-call interceptor and access controller, blocking unauthorized operating system calls based on predefined security policies. It employs allowlists and denylists to manage resource requests and monitors for security violations in real time. Capability areas include filesystem access management using glob-patte

The Linux Test Project (LTP) is a comprehensive test suite and framework for validating the reliability, robustness, and stability of the Linux kernel. It provides a structured environment for writing, building, and executing kernel tests, covering system call validation, network protocol testing, KVM virtualization testing, and kernel security regression testing through CVE reproduction. The project includes a kernel-test harness framework with dedicated C and shell APIs for writing self-contained test cases, along with an Autotools-based build system that handles cross-compilation and kerne