久久免费精品视频在线观看,欧美一区二区久久,午夜伦情电午夜伦情电影

摘要
Kernel rootkit通過修改控制數(shù)據(jù)或者內(nèi)核中的鉤子而劫持控制流，從而隱藏自己的存在。因此保護這些鉤子函數(shù)成為一個關(guān)鍵問題（引出出問題了）。但是有許多從內(nèi)核堆中動態(tài)分配的鉤子，并且與其它內(nèi)核數(shù)據(jù)混在一起，這造成了很多難度。另外，缺少靈活的商業(yè)硬件支持，造成了所謂的保護粒度溝（內(nèi)核鉤子的保護要求byte級別的粒度，但是商業(yè)硬件只支持頁級別的保護）。
為解決這些問題，本文提出了HookSafe的概念，基于hypervisor的輕量級的系統(tǒng)，可以保護guestOS中幾千個內(nèi)核鉤子免遭劫持。我們方法的一個關(guān)鍵點是我們觀察到一個內(nèi)核鉤子，一旦初始化，可能會頻繁的進行讀訪問，但極少進行寫訪問。這樣，我們可以分配這些內(nèi)核鉤子到一個專用的頁對齊的內(nèi)存空間，然后使用基于頁面的保護管理對鉤子的訪問。我們開發(fā)了一個HookSafe的原型并用其保護了geustlinux的5900多個內(nèi)核鉤子。而使用了9個rootkit的實驗證明了HookSafe可以有效的抵御內(nèi)核鉤子劫持，并且開銷很小（只有6%的性能下降怎么算出來的……）。

Introduction
之前對于rootkit的防御的研究可以粗略分拆成3類：
1. 例如Panorama，HookFinder，K-Tracer和PokeR等重點分析rootkit行為。
2. 通過檢測rootkit感染后特定癥狀來監(jiān)控rootkit的工具，如Coilot，SBCFI，VMwatchter等。
3. SecVisor，Patagonix和NICKLE等通過組織惡意rootkit代碼的執(zhí)行來保持內(nèi)核代碼的完整性，但這種防御可以通過return-oriented的rootkit【11】來繞過：首先修改內(nèi)核控制流（如劫持函數(shù)指針或者返回堆棧的地址），然后發(fā)動攻擊。

從上面可以看出，除了保護內(nèi)核代碼的完整性，保護相關(guān)內(nèi)核控制數(shù)據(jù)以保證內(nèi)核控制流的完整性也是很重要的。
本文中，如果內(nèi)核數(shù)據(jù)在kernel的執(zhí)行過程中的某個點被裝入了PC寄存器，那么該內(nèi)核數(shù)據(jù)就被當(dāng)做控制數(shù)據(jù)。
有兩種主要的內(nèi)核控制數(shù)據(jù)：返回地址和函數(shù)指針
返回地址的研究已經(jīng)很多，而我們的工作主要集中于保護函數(shù)指針
在本文中 function pointers = kernel hook

之前的方法：
為保護kernel hook，一個直覺上的方法是利用硬件的頁面保護機制，任何的對于包含kernel hook的寫指令都會被監(jiān)控。這個方法，如果只有很少的kernel hook并且這些hook都沒有跟經(jīng)常修改的內(nèi)存數(shù)據(jù)位于一起，可以工作的很好。但在Linux或Windows中，存在著幾千個hook，并且這些kernel hook分布在整個內(nèi)核空間。而且許多kernel hook可能從內(nèi)核堆中動態(tài)分配，并跟其他的可寫入的內(nèi)核數(shù)據(jù)位于同一個物理內(nèi)存頁面上。因此上面的方法不可行。

本文的方法：
基于hypervisor，我們提出一個基本的challenge，命名為protection granularity gap，硬件提供頁面級別的保護，而我們需要的是byte級別的粒度。為解決這個challenge，我們觀察到，kernel hooks，一旦初始化，基本上不會再改變它的值。這啟發(fā)了我們將kernel hooks放到一個指定的頁對齊的內(nèi)存中，引入一個很薄的hook indirection 層次，來管理對所有的hook的訪問通過物理的頁面保護機制。

Problem Overview
rootkit分為KOH和DKOM兩類，96%的KOH：劫持kernel的控制流通過劫持代碼hook或者數(shù)據(jù)hook【31，32】。Code hook是文本段，比較方便保護。Kernel data hook通常都是函數(shù)指針，存放于兩個內(nèi)存區(qū)域中，一個是動態(tài)分配的內(nèi)存區(qū)域如內(nèi)核的堆，另一個是預(yù)先分配的內(nèi)存區(qū)包括數(shù)據(jù)段，bss段和內(nèi)核引導(dǎo)區(qū)中。HookSafe保護這兩塊內(nèi)存區(qū)域

使用QEMU分析了Ubuntu8.04，證明了protection granularity gap的存在。找到5881個kernel hook，分布在41個物理頁面上。并統(tǒng)計了內(nèi)存頁面寫的次數(shù)與觸發(fā)hook寫的次數(shù)的比率。結(jié)果為1%

本文中假設(shè)系統(tǒng)有一個可信根，例如tboot（信任鏈？）。使用這個可信根，可以安全的裝入hypervisor，確保guest系統(tǒng)的完整性。同時假設(shè)運行時hypervisor也是完整的。本文不考慮對于hypervisor的攻擊，如SMM【14】等。

HookSafe Design
為提高性能，對hook的讀和寫的操作分開對待，以提高性能，讀操作在guestOS內(nèi)部完成，減少了一次內(nèi)存拷貝。

整個hooksafe分為兩步：離線統(tǒng)計和在線檢查
1. Offline hook profiling為每一個受保護的hook找到HAP集合（HAP就是訪問kernel hook的哪些指令），使用了QEMU。受保護的hook集合通過對兩個內(nèi)存區(qū)的如何掃描得到：每4byte檢查一次，如果只想某個內(nèi)核函數(shù)的首地址，則認為是一個hook
2. Online Hook protection：

2. ??????  Online Hook protection ：

3. ??????

?

a. ?  啟動：為受保護的 kernel hook 分配空的內(nèi)存區(qū)，將 kernel hooks 從原來的位置拷貝到新的區(qū)域吧（原來的代碼還要保留，以方便代碼的返回，相當(dāng)于多使用了一塊內(nèi)存）。 HAP 要繞過原來的位置，轉(zhuǎn)到新的 shadow memory copy 中

b. ?  運行時讀寫的攔截：為校驗寫數(shù)據(jù)的合法性，要求寫入的值必須在采樣過程中出現(xiàn)過（可見采樣過程需要大量的數(shù)據(jù)）

c. ?  運行時對動態(tài)分配的 hook 的跟蹤：動態(tài)的 hook 基本上都位于動態(tài)分配的內(nèi)核對象中，而內(nèi)核對象的分配時使用 slab 來進行的，只要監(jiān)控對 slab 的分配和 free 就好。另外一個 challenge 是在 HookSafe 運行前，就已經(jīng)有對象動態(tài)分配了，但是任何動態(tài)分配的 object 都必須能以某種方式進行訪問，這樣來跟蹤已經(jīng)分配的 object 。

d. ?  硬件寄存器的保護：保護 GDT 和 LDT ，以及 DMA

實現(xiàn)：

1. ??????  Offline Hook Profiler ：標(biāo)記，監(jiān)控訪問 hook 的指令并記錄其值，利用了 QEMU 的二進制翻譯技術(shù)，添加了自己的監(jiān)控代碼。

2. ??????  Hook 轉(zhuǎn)向：替換找到的 HAP 指令，用 jmp 指令來代替。在 shadow memory 中處理完后，跳轉(zhuǎn)回去原來的指令流執(zhí)行。

a. ?  指令的替換有些問題（ X86 的指令長度是不定的）： jmp 指令取 5byte 的長度，但原來的指令可能大于 5byte ，也可能小于 5byte ，這樣不能直接在原指令中進行替換進行跳轉(zhuǎn)（可能會覆蓋后面的指令，而后面調(diào)回來執(zhí)行需要后面的指令），采用了這樣一種方式：將原來的函數(shù)轉(zhuǎn)化成的二進制指令代碼拷貝一份新的并在新的上面修改，而原指令開頭部分也修改一下，指向新指令的起始位置，這樣不會對原來的指令造成破壞。

3. ??????  運行時 LKM 和 Hook 的跟蹤

監(jiān)控兩個 slab 分配函數(shù)。在這兩個函數(shù)返回前，看分配的 slab 是不是指定的對象。

challenge ：如何精確定位 hooks 的地址。

解決： hooks 在 LKM 中的相對偏移量是固定的，只要找到 LKM 的 base address 就好。問獲得 LKM 的基地址，利用了 virtual machine introspection 【 10 ， 23 ， 26 】技術(shù)。

4. ??????  內(nèi)存保護

5. ??????  系統(tǒng)調(diào)用轉(zhuǎn)向優(yōu)化

DISCUSSION

這種方法的采樣集的獲得是最大的問題，如何得到完整的采樣集

可以與目前的靜態(tài)方法相結(jié)合

相關(guān)工作

1. ??????  Kernel rootkit prevention ： SecVisor 【 26 】使用硬件方法保護代碼完整性。 Patagonix 也利用 hypervisor 檢測二進制指令。 Lares 是跟本文最相關(guān)的工作。

2. ??????  Kernel Rootkit Dection ：檢測 rootkit 是否出現(xiàn)

3. ??????  Kernel Rootkit Analysis ：采樣 rootkit 的行為模式

CSS09-Countering Kernel Rootkits with Lightweight Hook Protection

更多文章、技術(shù)交流、商務(wù)合作、聯(lián)系博主

微信掃碼或搜索：z360901061

微信掃一掃加我為好友

QQ號聯(lián)系： 360901061

您的支持是博主寫作最大的動力，如果您喜歡我的文章，感覺我的文章對您有幫助，請用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點擊下面給點支持吧，站長非常感激您！手機微信長按不能支付解決辦法：請將微信支付二維碼保存到相冊，切換到微信，然后點擊微信右上角掃一掃功能，選擇支付二維碼完成支付。

【本文對您有幫助就好】元

2元

5元

10元

20元

自定義