搜索

[8747] 2015-03-13_DRAM芯片内核提权漏洞解析

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-17
2015-03-13_DRAM芯片内核提权漏洞解析 D R A M 芯 片 内 核 提 权 漏 洞 解 析 F r e e B u f   2 0 1 5 - 0 3 - 1 3 微 信 号 ： 微 信 号 ： f r e e b u f 安 全 研 究 人 员 发 现 在 英 特 尔 安 全 研 究 人 员 发 现 在 英 特 尔 P C 上 的 上 的 L i n u x 系 统 中 可 以 利 用 某 些 种 类 的 系 统 中 可 以 利 用 某 些 种 类 的 D D R   D R A M 芯 片 所 存 在 的 物 理 缺 陷 来 获 取 系 统 芯 片 所 存 在 的 物 理 缺 陷 来 获 取 系 统 最 高 权 限 。 最 高 权 限 。 该 技 术 被 称 为 该 技 术 被 称 为 “ R o w h a m m e r ” ， 其 可 使 最 近 一 代 的 ， 其 可 使 最 近 一 代 的   D R A M   芯 片 多 次 访 问 内 存 导 致 相 邻 行 发 生 芯 片 多 次 访 问 内 存 导 致 相 邻 行 发 生 “ 位 翻 转 位 翻 转 ” ， 并 允 许 任 何 人 ， 并 允 许 任 何 人 改 变 计 算 机 内 存 中 的 存 储 内 容 。 改 变 计 算 机 内 存 中 的 存 储 内 容 。 什 么 是 什 么 是 R o w h a m m e r ？ ？ D D R 存 储 器 对 数 据 进 行 行 和 列 的 数 组 排 列 ， 然 后 分 配 给 各 种 服 务 器 、 应 用 程 序 以 及 大 规 模 的 操 作 系 统 。 为 了 防 止 应 用 程 序 之 间 相 互 访 问 内 存 ， 通 过 “ 沙 箱 ” 将 他 们 进 行 隔 离 。 但 但 “ 沙 箱 沙 箱 ” 可 以 通 过 一 些 恶 意 软 件 对 存 储 的 第 二 部 分 中 需 要 多 次 进 行 访 问 相 邻 行 的 内 容 使 用 比 特 翻 转 技 术 来 绕 过 。 可 以 通 过 一 些 恶 意 软 件 对 存 储 的 第 二 部 分 中 需 要 多 次 进 行 访 问 相 邻 行 的 内 容 使 用 比 特 翻 转 技 术 来 绕 过 。 因 此 ， 攻 击 两 个 相 邻 的 内 存 区 域 很 可 能 会 导 致 电 荷 泄 露 或 对 其 他 部 分 造 成 干 扰 。 研 究 人 员 解 释 道 ： 研 究 人 员 解 释 道 ： “ 有 足 够 的 访 问 量 就 可 以 进 行 0 到 1 或 者 1 到 0 的 改 变 ， 换 句 话 说 选 择 的 z e r o 区 域 很 有 可 能 转 移 给 受 害 者 ” 位 翻 转 技 术 首 次 出 现 是 在 卡 内 基 梅 隆 大 学 发 表 的 一 篇 学 术 研 究 报 告 中 ， 该 报 告 名 为 《 F l i p p i n g   B i t s   i n   M e m o r y   W i t h o u t   A c c e s s i n g   T h e m :   A n   E x p e r i m e n t a l   S t u d y   o f   D R A M   D i s t u r b a n c e   E r r o r s 》 另 外 ， 位 翻 转 技 术 不 应 该 与 缓 冲 区 溢 出 以 及 另 外 ， 位 翻 转 技 术 不 应 该 与 缓 冲 区 溢 出 以 及 u s e - a f t e r - f r e e 内 存 崩 溃 技 术 混 淆 。 内 存 崩 溃 技 术 混 淆 。 u s e - a f t e r - f r e e 内 存 崩 溃 技 术 是 一 种 攻 击 内 存 崩 溃 技 术 是 一 种 攻 击 者 把 恶 意 者 把 恶 意 s h e l l c o d e 植 入 受 害 者 电 脑 保 护 区 域 的 技 术 。 植 入 受 害 者 电 脑 保 护 区 域 的 技 术 。 原 理 解 析 原 理 解 析 正 如 我 们 所 知 ， 正 如 我 们 所 知 ， D R A M 芯 片 的 生 产 规 模 会 随 着 物 理 尺 寸 的 减 小 而 减 小 ， 而 最 新 的 技 术 对 于 内 存 容 量 的 要 求 更 高 ， 使 芯 片 的 生 产 规 模 会 随 着 物 理 尺 寸 的 减 小 而 减 小 ， 而 最 新 的 技 术 对 于 内 存 容 量 的 要 求 更 高 ， 使 得 芯 片 单 元 间 的 电 子 干 扰 很 难 被 阻 止 。 得 芯 片 单 元 间 的 电 子 干 扰 很 难 被 阻 止 。 目 前 G o o g l e   P r o j e c t   Z e r o 的 研 究 人 员   M a r k   S e a b o r n 和 T h o m a s   D u l l i e n 已 经 成 功 的 在 x 8 6 - 6 4 的 G N U / L i n u x 平 台 上 利 用 这 个 漏 洞 通 过 C L F L U S H 指 令 和 P T E s ( p a g e   t a b l e   e n t r i e s ) 的 某 一 位 的 变 化 ( 比 如 0 到 1 ) 直 接 获 得 内 核 权 限 ， 研 究 人 员 认 为 在 其 他 的 硬 件 架 构 和 操 作 系 统 上 也 有 类 似 的 方 法 可 以 达 到 这 一 目 的 ， 解 决 这 个 漏 洞 的 修 复 可 能 需 要 B I O S 更 新 针 对 内 存 控 制 器 部 分 的 操 作 。
在 Y o o n g u   K i m   e t   a l 的 论 文 中 谈 到 了 关 键 的 原 理 ： c o d e 1 a : m o v   ( X ) ,   % e a x   / /   R e a d   f r o m   a d d r e s s   X m o v   ( Y ) ,   % e b x   / /   R e a d   f r o m   a d d r e s s   Y c l f l u s h   ( X )   / /   F l u s h   c a c h e   f o r   a d d r e s s   X c l f l u s h   ( Y )   / /   F l u s h   c a c h e   f o r   a d d r e s s   Y j m p   c o d e 1 a 两 个 因 素 导 致 位 的 变 化 两 个 因 素 导 致 位 的 变 化 1 ， 地 址 选 择 ： 地 址 ， 地 址 选 择 ： 地 址 X 和 地 址 和 地 址 Y 必 须 印 射 到 内 存 的 不 同 必 须 印 射 到 内 存 的 不 同 r o w 但 是 又 是 在 同 一 但 是 又 是 在 同 一 b a n k 上 。 上 。 每 个 D R A M 芯 片 包 含 了 很 多 行 ( r o w ) 的 单 元 。 访 问 一 个 b y t e 在 内 存 中 涉 及 到 将 数 据 从 r o w 传 输 到 芯 片 的 " r o w   b u f f e r " 中 （ 放 电 操 作 ） ， 当 读 取 或 者 写 入 r o w   b u f f e r 的 内 容 后 ， 再 把 r o w   b u f f e r 内 容 传 输 到 原 来 的 r o w 单 元 里 （ 充 电 操 作 ） 。 这 种 ” 激 活 “ 一 个 r o w 的 操 作 ( 放 电 和 充 电 ） 可 以 干 扰 到 临 近 的 r o w 。 如 果 这 样 做 足 够 多 的 次 数 ， 临 近 r o w 的 自 动 刷 新 操 作 ( 一 般 是 每 6 4 m s ) 可 能 会 让 临 近 r o w 的 位 产 生 变 化 。 r o w   b u f f e r 作 为 缓 存 ， 如 果 地 址 X 和 Y 指 向 相 同 的 r o w ， 那 c o d e 1 a 将 会 从 r o w   b u f f e r 中 读 取 信 息 而 不 用 任 何 ” 激 活 “ 操 作 。 每 个 D R A M 的 b a n k 都 有 自 己 的 " 当 前 已 激 活 的 r o w " ， 所 以 如 果 地 址 X 和 地 址 Y 指 向 不 同 的 b a n k ， c o d e 1 a 将 会 从 那 些 b a n k 的 r o w b u f f e r 中 读 取 信 息 而 不 用 反 复 的 激 活 r o w 。 所 以 ， 如 果 地 址 X 和 地 址 Y 指 向 同 一 b a n k 上 不 同 的 r o w ， c o d e 1 a 会 导 致 X 和 Y 不 断 的 被 激 活 ， 这 被 称 为 R O W H A M M E R I N G 。 2 ， 绕 过 缓 存 ： 没 有 了 ， 绕 过 缓 存 ： 没 有 了 c o d e 1 a 中 的 中 的 C L F L U S H 指 令 的 话 ， 内 存 读 操 作 指 令 的 话 ， 内 存 读 操 作 ( m o v ) 只 会 操 作 只 会 操 作 C P U 的 缓 存 。 的 缓 存 。 C L F L U S H 刷 新 缓 存 的 刷 新 缓 存 的 操 作 强 制 让 内 存 的 访 问 直 接 指 向 操 作 强 制 让 内 存 的 访 问 直 接 指 向 D R A M ， 而 这 会 导 致 不 断 有 ， 而 这 会 导 致 不 断 有 r o w 被 重 复 的 激 活 。 被 重 复 的 激 活 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理