搜索

[13603] 2019-01-01_深入Linux如何在任意进程中修改内存保护（含PoC）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-01-01_深入Linux如何在任意进程中修改内存保护（含PoC） 深 入 L i n u x   |   如 何 在 任 意 进 程 中 修 改 内 存 保 护 （ 含 P o C ） C o v f e f e   F r e e B u f   2 0 1 9 - 0 1 - 0 1 前 言 前 言 最 近 ， 我 们 遇 到 一 个 非 常 具 体 的 问 题 ： 改 变 任 意 进 程 的 内 存 区 域 的 保 护 标 志 。 这 项 任 务 看 似 微 不 足 道 ， 但 是 我 最 近 ， 我 们 遇 到 一 个 非 常 具 体 的 问 题 ： 改 变 任 意 进 程 的 内 存 区 域 的 保 护 标 志 。 这 项 任 务 看 似 微 不 足 道 ， 但 是 我 们 着 实 遇 到 了 一 些 麻 烦 ， 在 此 过 程 中 也 学 到 了 关 于 们 着 实 遇 到 了 一 些 麻 烦 ， 在 此 过 程 中 也 学 到 了 关 于 L i n u x 机 制 和 内 核 开 发 相 关 的 东 西 。 以 下 是 一 些 简 要 概 述 ， 其 机 制 和 内 核 开 发 相 关 的 东 西 。 以 下 是 一 些 简 要 概 述 ， 其 中 包 括 了 当 时 采 取 的 三 种 方 案 ， 每 次 也 在 寻 求 更 好 解 决 方 案 。 中 包 括 了 当 时 采 取 的 三 种 方 案 ， 每 次 也 在 寻 求 更 好 解 决 方 案 。 概 述 概 述 在 现 代 操 作 系 统 中 ， 每 个 进 程 都 有 自 己 的 虚 拟 地 址 空 间 （ 从 虚 拟 地 址 映 射 到 物 理 地 址 ） 。 此 虚 拟 地 址 空 间 由 内 存 页 （ 某 些 固 定 大 小 的 连 续 内 存 块 ） 组 成 ， 每 个 页 都 有 保 护 标 志 ， 用 于 确 定 允 许 此 页 面 访 问 的 类 型 （ 读 取 ， 写 入 和 执 行 ） 。 这 种 机 制 依 赖 于 架 构 页 表 （ 有 趣 的 是 ， 在 x 6 4 架 构 中 ， 你 不 能 使 页 面 只 写 （ w r i t e - o n l y ） ， 就 算 你 特 意 从 操 作 系 统 请 求 ， 它 也 总 是 可 读 的 ） 。 在 W i n d o w s 中 ， 你 可 以 使 用 V i r t u a l P r o t e c t 或 V i r t u a l P r o t e c t E x 这 两 个 A P I 更 改 内 存 区 域 的 保 护 。 后 者 让 我 们 的 任 务 变 得 非 常 简 单 ： 它 的 第 一 个 参 数 h P r o c e s s 是 “ 要 改 变 内 存 保 护 的 进 程 的 句 柄 ” （ 参 见 M S D N . a s p x ) ） 。 另 一 方 面 ， 在 L i n u x 中 ， 我 们 并 不 那 么 幸 运 ： 更 改 内 存 保 护 的 A P I 是 系 统 调 用 m p r o t e c t 或 p k e y _ m p r o t e c t ， 并 且 两 者 始 终 在 当 前 进 程 的 地 址 空 间 上 运 行 。   我 们 现 在 回 顾 一 下 在 x 6 4 架 构 上 的 L i n u x 中 解 决 此 任 务 的 方 法 （ 我 们 假 设 是 r o o t 权 限 ） 。 而 在 L i n u x 中 ， 我 们 就 没 那 么 幸 运 了 ， 更 改 内 存 保 护 的 A P I 是 系 统 调 用 （ m p r o t e c t 或 p k e y _ m p r o t e c t ） ， 并 且 两 者 始 终 在 当 前 进 程 的 地 址 空 间 上 运 行 。 所 以 现 在 我 们 来 回 顾 一 下 在 L i n u x   x 6 4 架 构 上 解 决 此 问 题 的 方 法 （ 假 设 是 r o o t 权 限 ） 。 方 案 一 ： 代 码 注 入 方 案 一 ： 代 码 注 入 如 果 m p r o t e c t 总 是 作 用 于 当 前 进 程 ， 那 么 我 们 就 需 要 让 目 标 进 程 从 它 自 己 的 上 下 文 中 调 用 它 。 这 称 为 代 码 注 入 ， 可 以
通 过 许 多 不 同 的 方 式 实 现 。 我 们 选 择 使 用 p t r a c e 机 制 实 现 它 ， 其 允 许 一 个 进 程 “ 观 察 并 控 制 另 一 个 进 程 的 执 行 ” （ 参 见 手 册 ） ， 包 括 更 改 目 标 进 程 的 内 存 的 能 力 。 此 机 制 用 于 调 试 器 （ 如 g d b ） 和 跟 踪 程 序 （ 如 s t r a c e ） 。 使 用 p t r a c e 注 入 代 码 所 需 的 步 骤 如 下 ： 1 .   通 过 p t r a c e 附 加 到 目 标 进 程 。 如 果 进 程 中 有 多 个 线 程 ， 那 就 终 止 所 有 其 他 线 程 2 .   找 到 可 执 行 内 存 区 域 （ 通 过 检 查 / p r o c / P I D / m a p s ） 并 在 那 里 写 操 作 码 （ h e x ： 0 f   0 5 ） 3 . 根 据 调 用 约 定 修 改 寄 存 器 ： 首 先 将 r a x 更 改 为 m p r o t e c t 的 系 统 调 用 号 （ 即 1 0 ） 。 然 后 三 个 参 数 （ 起 始 地 址 ， 长 度 和 所 需 的 保 护 ） 分 别 存 储 在 r d i ， r s i 和 r d x 中 。 最 后 ， 将 r i p 更 改 为 步 骤 2 中 使 用 的 地 址 4 .   恢 复 进 程 直 到 系 统 调 用 返 回 （ p t r a c e 允 许 你 跟 踪 系 统 调 用 的 进 入 和 退 出 ） 5 .   恢 复 被 覆 盖 的 内 存 和 寄 存 器 ， 从 进 程 中 分 离 并 恢 复 正 常 执 行 这 种 方 法 是 第 一 个 也 是 最 直 观 的 方 法 ， 但 是 我 们 之 后 发 现 L i n u x 中 的 另 一 种 叫 s e c c o m p 的 机 制 会 工 作 得 更 好 。 它 是 L i n u x 内 核 中 的 一 个 安 全 工 具 ， 允 许 进 程 自 己 进 入 某 种 封 闭 状 态 ， 除 了 r e a d ， w r i t e ， _ e x i t 和 s i g r e t u r n 之 外 ， 它 不 能 调 用 任 何 系 统 调 用 。 不 过 也 可 以 选 择 任 意 系 统 调 用 及 其 参 数 来 仅 仅 过 滤 指 定 的 系 统 调 用 。 因 此 ， 如 果 进 程 启 用 了 s e c c o m p 模 式 并 且 我 们 尝 试 将 m p r o t e c t 调 用 到 其 中 ， 那 么 内 核 将 终 止 进 程 ， 因 为 不 允 许 此 系 统 调 用 。 所 以 我 们 要 寻 求 更 好 的 解 决 方 案 … … 方 案 二 ： 模 仿 内 核 模 块 中 的 方 案 二 ： 模 仿 内 核 模 块 中 的 m p r o t e c t 由 于 s e c c o m p ， 用 户 态 中 每 个 解 决 方 案 都 不 可 行 ， 因 此 下 一 个 方 法 肯 定 存 在 于 内 核 态 中 。 在 L i n u x 内 核 中 ， 每 个 线 程 （ 用 户 线 程 和 内 核 线 程 ） 都 由 名 为 t a s k _ s t r u c t 的 结 构 表 示 ， 并 且 当 前 线 程 （ 任 务 ） 可 通 过 指 针 访 问 。 内 核 中 m p r o t e c t 的 内 部 实 现 使 用 指 针 c u r r e n t ， 所 以 我 们 首 先 想 到 的 是 将 m p r o t e c t 的 代 码 复 制 粘 贴 到 我 们 的 内 核 模 块 ， 并 用 指 向 目 标 线 程 的 t a s k _ s t r u c t 的 指 针 替 换 每 次 出 现 的 c u r r e n t 。 可 能 你 已 经 猜 到 了 ， 复 制 C 代 码 并 不 是 那 么 简 单 ， 其 中 有 大 量 我 们 无 法 访 问 的 ， 未 导 出 的 函 数 ， 变 量 和 宏 。 某 些 函 数 声 明 在 头 文 件 中 导 出 ， 但 内 核 不 会 导 出 它 们 的 实 际 地 址 。 如 果 内 核 是 由 k a l l s y m s 支 持 编 译 的 ， 那 么 这 个 特 定 的 问 题 就 可 以 解 决 ， 然 后 通 过 文 件 / p r o c / k a l l s y s m 导 出 所 有 内 部 符 号 。 尽 管 存 在 这 些 问 题 ， 我 们 仍 以 m p r o t e c t 的 本 质 进 行 尝 试 ， 甚 至 仅 用 于 教 育 目 的 。 因 此 ， 我 们 开 始 编 写 一 个 内 核 模 块 ， 它 获 取 m p r o t e c t 目 标 P I D 和 参 数 ， 并 模 仿 其 行 为 。 首 先 ， 我 们 需 要 获 取 所 需 的 内 存 映 射 对 象 ， 它 表 示 线 程 的 地 址 空 间 ：
现 在 我 们 有 了 内 存 映 射 对 象 ， 就 需 要 深 入 挖 掘 。 L i n u x 内 核 实 现 了 一 个 抽 象 层 来 管 理 内 存 区 域 ， 每 个 区 域 由 结 构 v m _ a r e a _ s t r u c t 表 示 。 为 了 找 到 正 确 的 内 存 区 域 ， 我 们 使 用 函 数 f i n d _ v m a ， 它 通 过 所 需 的 地 址 搜 索 内 存 映 射 。 v m _ a r e a _ s t r u c t 包 含 字 段 v m _ f l a g s ， 其 以 与 结 构 无 关 的 方 式 表 示 存 储 器 区 域 的 保 护 标 志 ， v m _ p a g e _ p r o t 以 体 系 结 构 相 关 的 方 式 表 示 。 单 独 更 改 这 些 字 段 不 会 真 正 地 影 响 页 表 （ 但 会 影 响 p r o c / P I D / m a p s 的 输 出 ， 我 们 已 经 尝 试 过 ） 。   你 可 以 点 击 这 里 获 取 更 多 内 容 。 在 深 入 研 究 内 核 代 码 之 后 ， 我 们 发 现 了 真 正 改 变 内 存 区 域 保 护 所 需 的 最 基 本 工 作 ： 1 .   将 字 段 v m _ f l a g s 更 改 为 所 需 的 保 护 2 .   调 用 函 数 v m a _ s e t _ p a g e _ p r o t _ f u n c 来 根 据 v m _ f l a g s 字 段 更 新 v m _ p a g e _ p r o t 3 .   调 用 函 数 c h a n g e _ p r o t e c t i o n _ f u n c 更 新 页 表 中 的 保 护 位 。 这 段 代 码 虽 然 有 效 ， 但 它 有 很 多 问 题 ， 首 先 ， 我 们 只 实 现 了 m p r o t e c t 的 基 本 部 分 ， 但 原 始 函 数 比 我 们 做 的 要 多 得 多 （ 例 如 通 过 保 护 标 志 分 割 和 连 接 内 存 区 域 ） 。 其 次 ， 我 们 使 用 两 个 内 核 函 数 ， 这 些 函 数 不 是 由 内 核 导 出 的 （ v m a _ s e t _ p a g e _ p r o t _ f u n c 和 c h a n g e _ p r o t e c t i o n _ f u n c ） 。 我 们 可 以 使 用 k a l l s y m s 来 调 用 它 们 ， 但 是 这 很 容 易 出 问 题
（ 将 来 可 能 会 更 改 它 们 的 名 称 ， 或 者 会 改 变 内 存 区 域 的 整 个 内 部 实 现 ） 。 所 以 我 们 想 要 一 个 更 通 用 的 解 决 方 案 ， 不 考 虑 内 部 结 构 。 方 案 三 ： 使 用 目 标 进 程 的 内 存 映 射 方 案 三 ： 使 用 目 标 进 程 的 内 存 映 射 这 种 方 法 与 第 一 种 方 法 非 常 相 似 ， 因 为 我 们 希 望 在 目 标 进 程 的 上 下 文 中 执 行 代 码 。 但 在 这 里 ， 我 们 会 用 自 己 的 线 程 中 执 行 代 码 ， 同 时 使 用 目 标 进 程 的 “ 内 存 上 下 文 ” ， 这 意 味 着 ： 我 们 会 使 用 其 地 址 空 间 。 通 过 几 个 A P I 可 以 在 内 核 态 下 更 改 地 址 空 间 ， 我 们 使 用 了 u s e _ m m 。 如 文 档 明 确 指 出 的 那 样 ， “ 此 例 程 仅 用 于 从 内 核 线 程 上 下 文 中 调 用 ” 。 这 些 是 在 内 核 中 创 建 的 线 程 ， 不 需 要 任 何 用 户 地 址 空 间 ， 因 此 可 以 更 改 其 地 址 空 间 （ 地 址 空 间 内 的 内 核 区 域 在 每 个 任 务 中 以 相 同 的 方 式 映 射 ） 。 在 内 核 线 程 中 运 行 代 码 有 一 种 简 单 方 法 ， 就 是 内 核 的 工 作 队 列 接 口 ， 它 允 许 你 使 用 特 定 例 程 和 特 定 参 数 来 安 排 工 作 。 我 们 的 例 程 获 取 所 需 进 程 的 内 存 映 射 对 象 和 m p r o t e c t 的 参 数 ， 并 执 行 以 下 操 作 （ d o _ m p r o t e c t _ p k e y 是 内 核 中 实 现 m p r o t e c t 和 p k e y _ m p r o t e c t 系 统 调 用 的 内 部 函 数 ） ： 当 我 们 的 内 核 模 块 在 某 个 进 程 （ 通 过 一 个 特 殊 的 I O C T L ） 获 得 更 改 保 护 的 请 求 时 ， 它 首 先 找 到 所 需 的 内 存 映 射 对 象 ， 然 后 使 用 正 确 的 参 数 来 调 度 工 作 。 这 个 方 案 仍 有 一 个 小 问 题 ： 函 数 d o _ m p r o t e c t _ p k e y _ f u n c 不 由 内 核 导 出 ， 需 要 使 用 k a l l s y m s 获 取 。 与 前 一 个 解 决 方 案 不 同 ， 这 个 内 部 函 数 不 太 容 易 发 生 变 化 ， 因 为 它 与 系 统 调 用 p k e y _ m p r o t e c t 有 关 ， 而 且 我 们 无 需 处 理 内 部 结 构 。 如 果 你 有 兴 趣 ， 可 以 在 g i t h u b 中 找 到 这 个 P o C 内 核 模 块 的 源 代 码 。 * 参 考 来 源 ： 参 考 来 源 ： p e r c e p t i o n - p o i n t ， ， F B 小 编 小 编 C o v f e f e 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . c o m 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理